免费检测网站

凌晨两点，免费我盯着屏幕上那个写着“免费网站安全检测”的检测按钮，手指悬在鼠标上犹豫了十分钟。网站这年头，免费免费的检测东西往往最贵——但这次不一样，因为我要检测的网站正是那个号称“永久免费”的在线PS网站，它昨天弹窗让我输入银行卡号验证身份。免费

我点了下去。检测三十秒后，网站检测报告弹出来，免费红色加粗字体写着“高危：检测到恶意跳转代码，检测可能窃取表单数据”。网站那一刻我后背发凉，免费不是检测因为发现了威胁，而是网站因为这个检测工具本身——它也是我从搜索引擎随机找来的，域名是一串乱码，页面底部的备案号点进去是404。

后来我花了整个周末研究这类“免费检测网站”。它们大致分三类。第一类是安全厂商的引流工具，比如某数字公司的在线扫描，检测完弹个广告让你下载完整版杀毒软件，这算厚道的。第二类是技术爱好者用开源脚本搭的，数据只在你浏览器本地跑，不进服务器，这种也还行。最怕的是第三类——钓鱼网站披着检测的外衣，你上传文件或者输入URL，它顺手就把你的IP、浏览器指纹、甚至cookie打包送走了。

有个细节特别讽刺。我拿一个自己写的测试页面去试了十几个免费检测站，那个页面里埋了一个无伤大雅的跟踪像素。结果只有两个工具提示“发现外部请求”，其余全都显示“安全”。也就是说，大部分免费检测其实在拿你的数据换他们的广告收入，检测精度只是幌子。

那到底有没有靠谱的免费检测？有，但得认准特征。真正的安全检测工具，至少会明确告诉你数据怎么处理，检测原理是什么，甚至给你看开源代码。比如Mozilla的HTTP Observatory，它连登录都不要求，纯靠分析HTTP响应头来打分。还有个叫urlscan.io的，检测完直接给你一份完整的网络请求瀑布图，连哪个域名连了哪个IP都标得清清楚楚，这才是干活的样儿。

反观那些一上来就要你注册邮箱、甚至手机号的“免费检测”，基本可以断定是另有所图。你想想，检测一个网站安不安全，跟你的手机号有什么关系？除非他们打算把你变成他们的“安全报告”里的一个转化率数字。

现在我的浏览器书签栏里躺着三个真正可靠的检测工具，全是英文的，没有中文界面，也没人给我打电话推销安全服务。每次遇到可疑链接，我轮流用它们扫一遍，最多花五分钟。代价是偶尔要忍受全英文的技术术语，但换来的是踏实——至少我知道，检测我网站的那台服务器，没有在偷偷记录我的键盘输入。

免费的东西，要么你得付出时间成本去辨别，要么就得付出数据成本去填坑。这个道理放在网站检测上，再合适不过。下次你再看到“免费检测”四个字，先看看它的隐私政策写没写清楚，写不清楚的，你本身就是那个被检测的对象。