360网站安全检测的网站官网入口其实就一个：webscan.360.cn。别搜错，安全百度前几条经常是检测广告或者山寨页面，点进去让你付费做“深度检测”的官网基本都是李鬼。我见过一个做外贸站的网站朋友，图省事在某个“360安全检测”页面填了域名和邮箱，安全结果第二天网站被挂马，检测邮箱里还多了一堆钓鱼邮件。官网这事挺讽刺的网站。

打开webscan.360.cn，安全界面朴素得有点不像360的检测产品。一个输入框，官网一个“立即检测”按钮，网站没了。安全没有花哨的检测动画，没有引导注册的弹窗。你把域名敲进去，等个十几秒，它会返回一份报告。报告分几个维度：漏洞、挂马、篡改、敏感词、可用性。每一项给个“安全”或“危险”的标签，点开有详情。

我拿自己维护的一个小博客试过。检测结果显示“未发现明显漏洞”，但“建议开启HTTPS”。这个建议挺实在的，不是那种吓唬你“不升级就完蛋”的套路。后来我又拿一个客户的旧站测，报告直接标红：“发现SQL注入漏洞，路径 /product.php?id=1”。把参数改成 1' AND 1=1--，页面果然报错。这种检测逻辑不复杂，但管用。

这个工具最值钱的地方是免费。市面上做类似扫描的，比如某些商业漏扫，按次收费几十到几百不等。360这个虽然不会给你出PDF报告，也不会帮你修复，但作为日常巡检足够用。我习惯每周一早上跑一遍手头的几个站，花不了五分钟。有次扫出一个“网页被篡改”的告警，点进去一看，首页底部多了一行隐藏的菠菜链接。赶紧改密码、打补丁，前后半小时搞定。要是等搜索引擎标记“该页面可能被篡改”，流量早掉光了。

不过得说清楚，它查不出逻辑漏洞。比如越权访问、支付金额篡改这类，得靠人工测。还有，检测结果偶尔有误报。我遇到过把某个正常JS文件报成“可疑脚本”，点开详情发现是用了 eval 函数。这种时候别慌，自己判断一下。工具是辅助，不是圣旨。

用的时候有几个细节。第一，别在公共WiFi下提交后台地址，检测请求会带过去。第二，如果网站有防火墙或者CDN，可能会拦截360的扫描IP，导致结果不准。第三，检测完记得把报告页面的链接关掉，那个URL里包含你的域名和检测ID，泄露了别人能看到你的漏洞详情。我一般直接截图，不保存链接。

另外，webscan.360.cn 不提供API。想批量检测得手动一个个来。我试过用脚本模拟提交，但360那边有频率限制，连续请求几次就弹验证码。所以别想着自动化，老老实实手动跑。对于个人站长和小团队，这个频率够用了。大公司还是买商业漏扫或者找专业团队做渗透测试。

最后提一句，这个工具2013年左右就上线了，中间改过几次版。现在页面底部还挂着“360安全中心”的版权信息。界面没怎么变，功能也没大改。在360一堆花里胡哨的产品里，算是个异类。不赚钱，不导流，就是个小工具。但恰恰是这种工具，比那些吹得天花乱坠的“安全大脑”更实在。你说是吧？