網站WAF檢測

網站 WAF 檢測會回報什麼

輸入網站的根網域或根網址後，工具會對公開網站做一次外部 WAF 偵測，結果分為「偵測到」與「未偵測到」，並可能附上防火牆、服務商或廠商名稱。它回答的是：從這次外部連線觀察，是否出現可辨識的 WAF 訊號；不是網站弱點掃描，也不會列出安全設定清單。

WAF 是 Web Application Firewall（Web 應用程式防火牆），在 HTTP／HTTPS 應用流量層檢查請求並依規則採取動作。NIST 將 WAF 描述為處理已解析 HTTP 請求中繼資料與載荷的應用層防護；OWASP 也說明，可從請求遭阻擋時的回應，以及部分 Cookie 或 HTTP 標頭觀察其存在線索。這類外部指紋只能反映可見訊號，名稱是可能的識別結果，不代表已取得站方設定資料。

辨識訊號與安全稽核的差別

WAF 可能部署在網站伺服器、代理服務或雲端入口，對外呈現的回應會受網域、路徑、來源網路與規則設定影響。本工具只檢查根網址，因此輸出不代表每個子網域或網站路徑都經過相同防護。判讀時也要分清「偵測狀態」與「防護成效」：辨識出名稱不會驗證規則是否啟用，未辨識到也不能據此確認沒有防護。

輸入根網址並查看狀態

1. 選擇要檢查的公開網站

   使用你管理或已獲授權檢查的網域。可以輸入 example.com，也可以輸入 https://example.com 或 http://example.com。

2. 確認輸入是根網址

   請勿加入頁面路徑、查詢參數或片段，例如 example.com/login 不符合這項檢查的輸入範圍。只接受標準 HTTP 或 HTTPS 連接埠；非公開位址與指向非公開位址的網域不會執行檢查。

3. 開始檢測並閱讀結果

   送出後查看偵測狀態。若有可辨識名稱，結果可能同時顯示服務或防火牆名稱與廠商；若未提供名稱，請以頁面當次呈現的欄位為準。遇到格式錯誤、網域解析失敗或服務暫時無法完成時，畫面會顯示錯誤，而非有效的陰性結果。

4. 將線索與站方資料對照

   記錄目標網域、檢查時間和顯示名稱，再到網域管理、代理或安全服務的管理介面核對。若你在檢查後調整了設定，重新執行一次並標明時間，避免把不同時間的結果當成同一狀態。

根網址、名稱與陰性結果

結果適用範圍與授權

一次外部偵測只提供當下可觀察的線索，不能證明防護已正確啟用、規則有效或網站安全，也不能證明網站沒有 WAF。不同網域入口、路徑、網路位置或設定可能呈現不同回應；誤判與漏判皆有可能。

• 本工具不是弱點掃描、滲透測試、規則稽核或合規檢查。重要判斷請以站點所有者的服務設定、日誌及經授權的專業測試為準。
• 只提交自己擁有或已取得明確授權的公開網域。不要用結果規避防護、探測未授權系統或攻擊他人網站。
• 輸入限根網域或根網址；不要提供帶有登入憑證、個人資料、存取權杖或其他機密資訊的網址。