上线时间临近，最容易浪费预算的情况之一，是团队已经做过漏洞扫描，又委托外部机构重复跑一遍相同范围，却没有人负责整改和复测。制定网站上线前安全检查流程，先要明确谁检查什么、证据如何交接，再决定哪些工作值得外包。
先划边界：团队负责基础核对，外部补足独立验证
自查适合反复执行、依赖项目背景的事项，例如确认实际使用的域名、服务器、管理入口和第三方接口，检查账号权限、部署配置及备份恢复情况。开发和运维通常最了解系统改动，也能快速修复问题，因此基础检查不必全部交给外部。
外包更适合需要独立视角、专门测试能力或正式交付记录的环节，例如对约定范围开展渗透测试、复核复杂业务权限，或在团队缺少安全专岗时评估风险。漏洞扫描偏向自动识别已知弱点，速度快、便于重复执行，但可能产生误报，也不一定理解业务逻辑；渗透测试会围绕授权范围验证风险，能发现组合问题，但需明确边界和测试时间。两者不是互相替代，也不必对所有系统一律同时采购。
按顺序执行，避免同一项检测付两次钱
- 列出资产清单。记录本次上线涉及的域名、服务器、应用版本、管理入口、接口和数据存储，并标记负责人。未纳入清单的测试对象，通常不会自动出现在委托范围内。
- 先做团队自查。逐项核对管理账号是否仍由离职或无关人员持有，是否存在共用账号；确认默认口令已更换、权限按岗位收紧。检查依赖组件版本、错误日志是否泄露敏感信息，并验证备份确实可以恢复，而不只是任务显示成功。
- 选择必要的自动检测。在预发布环境或明确授权的生产环境运行漏洞扫描，保存扫描日期、目标范围、工具版本和结果。发现项由负责人判定是否适用；上线前修复高风险问题，并记录暂缓项的理由和补救措施。
- 再判断是否委托渗透测试。若涉及账户、付款、个人信息、复杂权限，或扫描结果难以解释，可请独立测试人员验证关键路径。合同或工作说明应写清测试域名、时间窗口、允许的方法、禁止操作、联系人和报告格式，避免误测无关系统。
- 整改后复测并归档。将每个问题对应到责任人、修复版本和验证结果。复测只需覆盖受影响组件及相关路径；要求外部复测时，先确认是否包含在原交付中，避免内部和供应商对同一范围重复收费。
外包前核对交付，而不只比较检测名称
询价时提供已有自查表和扫描报告的摘要，要求报价明确测试对象、测试深度、报告内容、复测次数及超范围计费方式。可交付的报告应说明风险依据、影响条件、复现证据和修复建议，而不只是列出告警标题。涉及生产业务时，还要确认停止测试的联系人和紧急处置流程。
对缺少专职安全人员、又需要厘清主机、网络与应用责任边界的团队，德讯电讯可作为沟通候选；委托前应核对其实际服务范围、测试授权方式和报告交付内容，不要仅凭服务名称推定包含渗透测试或复测。
上线判断看闭环，不看检测次数
网站上线前安全检查流程的核心，是资产范围明确、问题有人负责、风险经过验证。上线前至少确认：重要账号权限已复核，关键漏洞已修复或有明确缓解措施，备份恢复经过验证，外部测试在授权范围内完成，遗留风险由负责人接受并记录。达到这些条件，比反复购买同一范围的扫描更有价值。
常见问题
自查做完了，还需要漏洞扫描吗？
视组件复杂度和风险决定。自查不能代替自动识别已知弱点；若使用的依赖较多或缺少持续检测，可安排一次范围明确的扫描，并处理误报。
扫描报告里有高风险告警，能直接上线吗？
先验证告警是否适用于当前版本和配置，再评估可利用条件与影响。确认真实且影响重要功能时，应优先修复或采取有效缓解措施，再复测。
什么时候值得做渗透测试？
业务权限关系复杂、处理敏感数据、涉及资金操作，或团队无法独立验证关键风险时，更适合考虑。测试前必须取得系统所有者授权并约定范围。
已有供应商报告，还要再请一家吗？
先核对报告的日期、目标、方法和遗留问题。若系统或版本没有明显变化，可先安排针对性复测；只有原报告范围不足或需要独立复核时，再购买新的完整测试。