網站安全檢測怎麼比價？先看報價裡查了什麼

「一個網站」包含客戶後台嗎？

假設一家公司有官網、客戶後台與 API，分別使用不同網域。報價只寫官網，無法說明另外兩個也會檢查。這是採購情境示例，並非真實客戶案例。把實際網址交給服務方，請對方書面列明包含哪個目標。

也要問清是否使用帳號。未登入訪客能看到的頁面，與比較兩個客戶角色，需要的權限和工作不同。「Web 安全」這類名稱不代表包含登入後檢測。若擔心客戶能看到別人的訂單，只查公開頁面無法回答。

要一份能交給開發人員的紀錄

付款前先看去識別化的報告範例。受影響位置、問題出現條件、隱去敏感值的證據、可能影響與修改建議，都應找得到。只有截圖而沒有觸發條件，開發人員可能無法重現。一長串掃描警示，也可能把真假判斷留給了開發人員。

範例還應寫清未檢查項目。不確定結果如何標示、是否有人複核證據，都值得詢問。報告頁數和弱點數量無法代替這些回答。未發現問題仍應交付約定範圍的檢查紀錄與限制，不能據此認證整個系統安全。

Mingxi 的 US$120 查到哪裡

標準檢查針對一個約定的公開網站或 API 目標，不使用登入帳號。子網域、其他應用程式與額外資產不會自動包含。檢查約定的公網暴露面、基礎設定及可核驗的常見風險，由工程師複核證據、風險等級與改善建議。不包含原始碼稽核、登入後功能、多帳號角色及業務邏輯測試。

報告以約定語言的 PDF 寄到電子信箱。兩個工作日從資產歸屬、授權、範圍、必要資料與付款全部確認後起算。預設不含複測，須另行確認範圍及費用。下單前請閱讀目前服務範圍，不要只看價格。

把約定和報告放在一起

保留確認過的目標、未涵蓋項目、交付物、起算條件與報告收件人。取消與排程規則應以雙方實際約定為準，沒有寫明的條款，不要自行當成承諾。

修復後保留部署版本與對應問題編號。另約複測時，問清會提供哪些驗證證據。重新掃描首頁沒有警示，不能證明另一個曾受影響的端點已修好。

執行清單

• 提供目標網址，確認哪些不查。
• 確認工作是否使用登入帳號。
• 閱讀報告範例與交付起算條件。
• 付款前記錄複測與取消規則。

常見問題

價格低的檢查一定不值得買嗎？

不一定。範圍清楚的小規模檢查可以適合簡單的公開網站。應比較它能否回答你的風險問題；便宜的公網檢查無法替代需要帳號、原始碼或業務邏輯測試的評估。