打开360网站安全检测平台的网站官网，第一眼看到的安全不是花哨的动画，而是检测一行大字——“网站安全检测”。这行字底下，平台有个输入框，官网旁边一个蓝色按钮，网站写着“立即检测”。安全就这么简单，检测连注册都不用。平台

我把自己的官网个人博客地址粘进去，点了按钮。网站页面刷新，安全开始扫描。检测说实话，平台等待的官网那十几秒里，我有点紧张。毕竟那个博客是我2016年建的，用的还是老掉牙的WordPress主题，插件更新早就被我抛到脑后了。

结果出来了，87分。不算差，但也不好看。报告里列了一堆问题：两个高危漏洞，一个是过时的jQuery库，另一个是某个插件留下的后门文件。还有个中危，说我的管理员登录页面没有做二次验证。最让我意外的是，它连我服务器上某个测试目录的权限配置问题都揪出来了。

这个检测平台，本质上是360安全大脑在Web端的一个入口。它把那些原本需要专业安全工程师才能操作的扫描工具，打包成了傻瓜式操作。你不需要懂什么是SQL注入，不需要知道什么叫XSS跨站脚本攻击，只要把网址输进去，它就会告诉你：这里有坑，那里有洞。

我试着又测了一个朋友的电商网站，那个站是他花两万块找外包公司做的。结果更惨，62分。报告显示它的支付接口存在中间人攻击风险，而且整个站居然还在用HTTP协议，没有上HTTPS。朋友看到报告后愣了半天，说那家外包公司当时拍着胸脯保证“绝对安全”。你看，这就是现实——很多所谓的“专业”网站，其实连最基本的防护都没做。

官网里还藏着个“安全指数”排行榜，按行业分类展示那些检测得分高的网站。金融类的基本都在95分以上，毕竟监管要求摆在那儿。但有意思的是，教育类网站的整体得分普遍偏低，我翻了翻，很多高校官网连80分都不到。这大概解释了为什么每年高考季，总有考生查分时碰到钓鱼网站。

一个细节让我印象很深，检测完成后，页面底部有行小字：“本次检测结果仅供参考，如需深度检测请联系商务。”点开那个“深度检测”的链接，能看到企业版的功能列表：Webshell查杀、篡改监控、DDoS防护建议、渗透测试报告……这些才是360真正想卖的东西。免费检测就是个钩子，钓出那些真正在乎网站安全的用户。

用了几次之后，我摸清了它的套路。免费版检测的项目其实有限，主要扫描常见端口、已知漏洞库和基础配置问题。那些真正致命的，比如逻辑漏洞、越权访问，它根本不会在免费报告里提。但这不怪360，安全检测本来就是个无底洞，能把基础工作做好，已经能拦住80%的脚本小子了。

我现在养成了个习惯，每两周把自己的网站丢上去扫一遍。不是为了那分数，而是想看它列出的“新增风险”里有没有陌生IP的登录记录。上个月还真发现有个巴西的IP尝试了十六次后台登录，虽然密码够复杂没被破解，但看到那条记录时，后背还是凉了一下。

这平台不是万能的。它扫不出你代码里自己写的逻辑漏洞，也防不住内部人员泄露数据。但对大多数中小站长来说，它就像个免费的家庭医生，定期帮你量血压、测血糖，发现异常就提醒你去大医院做进一步检查。至于要不要治、怎么治，那是你自己的事。