站点安全到底几斤几两？Mozilla Observatory 给网站做全面体检
光看响应头不够，想知道站点在 TLS、CSP、Cookie、跨站策略等维度整体表现如何，可以上 Mozilla Observatory。它由 Mozilla 推出，对目标网站跑一整套安全测试，汇总成一个分数与分级，并标注每个测试项的通过与否和理由。比单点工具更系统，适合在发版前给网站来一次安全统考。
它解决什么问题
单看响应头不够，想对站点安全做更系统的整体评估。
发版前需要一份可量化的安全评分作为上线门槛。
不清楚 TLS 配置、Cookie 策略、跨站防护分别差在哪。
核心能力
| 能力 | 具体能做到什么 |
|---|---|
| 综合评分 | 汇总多项安全测试给出一个总分与等级，便于横向比较。 |
| 多维度 | 覆盖响应头、TLS、Cookie、子资源完整性等维度。 |
| 测试明细 | 每个子项显示通过与否，并给出改进理由。 |
| 第三方联动 | 可结合其他扫描器的数据丰富结果。 |
| 开源可查 | 检测逻辑开源，规则透明可审计。 |
| 免安装 | 网页填入网址即扫，不下载任何软件。 |
它把「多个安全扫描维度」合成一次统考
Mozilla Observatory 的思路不是自造所有检测，而是把响应头检查、TLS 配置评估、第三方安全扫描等结果聚合起来，按 Mozilla 的安全权重模型算出一个综合分。每个维度都有明确的通过标准，比如 Cookie 是否设了 Secure、SameSite，TLS 是否禁用了弱协议。这种「统考」式呈现，让你一眼看到网站安全的全局短板，而不是只盯某一项。
要理性看待分数：它衡量的是「对外安全配置的最佳实践符合度」，不代表没有业务逻辑漏洞；分数低要先补高危项，分数高也别松懈代码安全。另外扫描对目标站点有轻微请求压力，只扫自己有权限的网站。它最适合「发版前系统体检 + 跟踪安全分随版本变化」，是开源且规则透明的良心工具。
同类工具怎么选
| 工具 | 授权 | 差别在哪 |
|---|---|---|
| Security Headers | 官方免费资源 | 聚焦响应头评分，更轻量单一。 |
| SSL Labs | 免费闭源 | TLS 配置评级更专业深入。 |
| ImmuniWeb | 商业试用 | 带合规与隐私测试，企业档更全。 |
谁适合用
- 需要在发版前做安全统考的开发者与团队
- 负责站点安全、要量化评分的运维
- 想系统补齐安全短板的站长
怎么开始
- 打开 Mozilla Observatory 网页，输入要检测的网站地址。
- 发起扫描，等待它跑完各项安全测试。
- 查看综合分数与各维度明细，定位未通过项。
- 按建议补强响应头、TLS、Cookie 等配置。
- 改完复扫，跟踪安全分数是否提升并稳定。
常见问题
要不要注册账号？
网页检测免登录直接用，无需注册账号。
免费额度到哪？
作为开源检测服务免费可用，无强制付费档。
我网站的扫描数据会被留存吗？
它对公开站点做安全检测，属正常安全评估场景，仅扫自己有权限的网站即可。
能不能换自建方案？
能。其检测逻辑开源，可在 CI 中接入等价扫描，把安全检查左移。
授权与合规
Mozilla Observatory 以 Mozilla 开源协议发布，源码公开，检测服务可免费使用。 官网：observatory.mozilla.org。
继续找同类资源
这条属于「在线工具」栏目，同栏目还有更多可直接使用的免费资源，可以在 在线工具全部资源 里按需翻阅。
相关资源
同栏目下这几条也常被一起翻到：
↓ 获取资源
点击按钮直接前往资源页面。
