网站安全检测怎么比价？先看报价里查了什么

“一个网站”包括客户后台吗？

假设一家公司有官网、客户后台和 API，分别使用不同域名。报价只写了官网，并不能说明另外两个也会查。这是采购场景示例，不是真实客户案例。把实际网址发给服务方，请对方书面列明包含哪个目标。

还要问清是否使用账号。未登录访客能看到的页面，与拿两个客户角色进行比较，需要的权限和工作不同。“Web 安全”这样的名称不能说明包含登录后检测。如果你担心客户能看到别人的订单，仅查公网页面回答不了这个问题。

要一份能交给开发的发现记录

付款前先看脱敏报告样例。受影响的位置、问题出现的条件、隐去敏感值的证据、可能影响和修改建议，应该能找到。只有截图，没有触发条件，开发可能无法复现。一长串扫描告警，也可能把真假判断留给了开发。

样例还应写清没查什么。不确定的结果怎么标注，是否有人复核证据，都值得问。报告页数和漏洞数量代替不了这些回答。没有发现问题，也应交付约定范围内的检查记录与限制，不能据此认证整个系统安全。

Mingxi 的 US$120 查到哪里

标准检查针对一个约定的公开网站或 API 目标，不使用登录账号。子域名、其他应用和额外资产不会自动包含。检查约定的公网暴露面、基础配置及可核验的常见风险，由工程师复核证据、风险等级和整改建议。不包含源码审计、登录后功能、多账号角色和业务逻辑测试。

报告以约定语言的 PDF 发送到邮箱。两个工作日从资产归属、授权、范围、必要资料和付款均确认后起算。默认不含复测，需要另行确认范围与费用。下单前请阅读当前服务范围，不要只看价格。

把约定和报告放在一起

留存确认过的目标、未覆盖项、交付物、起算条件和报告接收人。取消和排期规则应以双方实际约定为准，没有写明的条款，不要自己补成默认承诺。

修复后保留部署版本和对应的问题编号。另约复测时，问清会提供什么验证证据。重新扫描首页没有告警，不能证明另一个曾受影响的接口已经修好。

执行清单

• 发出目标网址，确认哪些不查。
• 确认工作是否使用登录账号。
• 看报告样例及交付起算条件。
• 付款前记录复测和取消规则。

常见问题

价格低的检查就一定不值得买吗？

不一定。范围清楚的小规模检查可以适合简单的公开网站。要比较它能否回答你的风险问题；便宜的公网检查不能替代需要账号、源码或业务逻辑测试的评估。