網站健檢做了 10 多家之後，我們發現大家壞的地方都一樣

幫人做網站健檢做了 10 多家之後，我們發現一件事：大家壞的地方高度重複。

餐廳、選物店、製造業、工作室都檢過，也包含我們自己的官網。同一套六項檢查（速度、SEO、資安標頭、SSL、Email、AI 爬蟲政策）跑下來，有三個模式幾乎每次都出現。

發現一：資安標頭，幾乎全軍覆沒

我們檢過的網站裡，資安等第超過半數落在 D 以下，其中三家拿 F。沒有任何一家拿到 A——包含檢查當時我們自己的站。

這裡講的東西沒那麼戲劇化，跟被駭是兩回事——它叫安全標頭：一組告訴瀏覽器「強制走加密連線」「別人不能把我的頁面嵌進去」的設定（HSTS、CSP 那一類）。沒設的網站平常看起來完全正常，出事的那天才知道少了它。

為什麼大家都沒設？因為這層沒有人提醒。主機商不會替你設（設錯會把網站弄壞，他們不碰）、建站的人多數沒把它放進交付清單、業主更沒理由知道它存在。

想看自己的等第，把網址丟進 MDN HTTP Observatory 就有。⚠️ 看完先別急著照網路上的設定檔複製貼上——CSP 設錯會讓網站的圖片和樣式直接消失，這篇講了安全的上法。

同一套速度檢查跑下來，分數從 6 分到 87 分都有，散得很開。這裡有一個我們自己也踩過的坑：

測速工具的手機分數是壓力測試——模擬慢速 4G 加上處理器降速四倍，不是客人實際的體感。

最誇張的一案：一家生活選物店，測速工具顯示主圖要 20.8 秒才出現，嚇死人。我們用一般網速實測，3.3 秒。照著壓測數字下藥的話，會花一筆錢去修一個客人根本沒感覺到的問題。

所以現在我們的規矩是：速度的結論一定要無限速實測過才寫進報告。你自己看測速報告也一樣——看到紅色先深呼吸，用自己的手機、關掉 Wi-Fi 換 4G 開一次網站，那才是客人的體感。分數怎麼讀，速度健檢那篇有完整說明。

反過來的案例也有：一家速度拿 87 分的站，資安等第是 F。單一分數好看，不代表整體沒事。

SSL 憑證這一項，11 家全數在效期內。Email 收信（MX）設定也多數正常——沒過的那幾家是網域根本沒有收信紀錄，通常代表還沒用自己網域的信箱，跟設壞是兩回事。

這一層現在多數由主機商和網域商自動化處理——憑證自動續期、信箱服務商代管設定，人不用動手，所以不會壞。

把三個發現放在一起，圖案就出來了：

掉分的全部集中在「沒人提醒就不會有人去設」的那一層。 網站沒有壞，只是有一整層從來沒被打開過。

如果你的網站也是做完就沒人回頭看過，它大概也長這樣：底層及格、中層看運氣、上層空白。而上層那些東西——標頭、預覽圖、機器讀不讀得到你的內容——每一項都在你看不到的地方漏客人。

我們把這六項做成了免費網站健檢，貼上網址就會排進檢查，出來的就是這篇講的那份報告。已經拿到報告、想知道每一項怎麼看的話，報告範例的逐項解讀在這裡。

A: 在地商家為主：餐廳、選物店、健康產業、製造業、工作室、婚禮服務，也有我們自己的官網和測試站。規模從一頁式到完整電商都有，所以「壞的地方都一樣」這個結論跨了行業和規模。

A: 不直接等於。等第量的是防護層有沒有設，像門有沒有第二道鎖——沒設不代表今天會遭小偷，出事時就少一層保護。真正的被駭徵兆是另一回事，那篇有清單。

A: 我們的報告會分「你自己就能改」「要找人」「平台層改不動」三類，而且固定會有幾項是「這個先不用動」。全修沒有必要——先修看得到、改得動、真的在漏客人的那幾項。