指南 · 约 3 分钟阅读
网站安全评级 A 到 F 是什么意思
简短回答：每个网站从 100 分开始。每发现一个问题就按严重程度扣分（严重 40、高 20、中 8、低 3），每个类别设有扣分上限。90 分及以上为 A，75 分及以上为 B，60 分及以上为 C，40 分及以上为 D，低于 40 分为 F。任何高风险问题都会把评级限制在 B，一个严重问题会把评级限制在 D，两个或更多严重问题则直接为 F。
评级区间
| 评级 | 分数 | 通常意味着什么 |
|---|---|---|
| A | 90–100 | 基础措施已到位，只剩少量加固工作。 |
| B | 75–89 | 整体不错，但缺少一些防护，或有一个高风险问题需要修复。 |
| C | 60–74 | 存在若干攻击者常找的漏洞。 |
| D | 40–59 | 存在严重缺口，或有一个严重问题，例如证书无效或已过期。 |
| F | 0–39 | 立即修复：存在多个严重问题或大量高风险问题。 |
如何扣分
- 严重：40 分。例如：证书已过期或不受信任。
- 高：20 分。例如：过时的 TLS 版本（1.0/1.1）、14 天内到期的证书、已不再获得安全修复的 PHP 版本。
- 中：8 分。例如：没有 HSTS、没有 Content-Security-Policy、没有点击劫持防护、没有 SPF 或 DMARC 记录。
- 低：3 分。例如：没有 Referrer-Policy、没有 Permissions-Policy、服务器或 PHP 版本号外露。
- 信息：0 分。仅作参考展示。
每个类别（例如响应头、TLS、邮件、WordPress）都有最高扣分，因此许多小的响应头问题无法单独把评级拉低。响应头类别的扣分上限为 24 分。
安全上限规则
单看分数可能掩盖一个危险问题，因此在计分之后还会应用三条规则：
- 存在任何高风险问题：评级最高为 B。
- 存在一个严重问题：评级最高为 D。
- 存在两个或更多严重问题：评级为 F。
两个计算示例
- 缺少 CSP（8）+ 缺少 HSTS（8）+ 缺少 Referrer-Policy（3）= 19 分。100 − 19 = 81，评级为 B。
- 证书过期（40）= 60 分，本应是 C，但严重问题上限将其降为 D。
如何最快提高评级
- 先修复所有严重问题（证书、暴露的文件）。
- 清除所有高风险问题，因为哪怕只有一个也会让你停留在 B。
- 补上缺失的响应头：可直接复制到服务器的配置 （英文）。
- 添加 SPF 和 DMARC：适用于 Google Workspace 和 Microsoft 365 的记录 （英文）。
- 重新扫描确认。
免费评级与深度扫描
免费评级只来自被动检查。深度扫描（面向已验证的所有者，需经同意）会运行更多测试，因此可能发现免费评级看不到的问题，评级也可能下降或上升。
常见问题
A 级就等于安全吗？
不是。A 表示从外部可见的问题状况良好。它看不到你服务器上的文件、密码或备份。
为什么我的分数超过 90，评级却被限制在 B？
因为至少存在一个高风险问题。修复它，上限就会解除。
为什么我什么都没改，评级却变了？
证书在逐渐接近到期，你使用的软件会有新的漏洞被公布，而主机或 CDN 也可能更改响应头。
其他安全评级工具使用相同的标准吗？
不。每个工具对问题的权重不同，因此不同工具的评级无法直接比较。本页只描述 HackGrade 的评级标准。