网站诊断分4类，别把体检做成算命

体检报告最后补一句“注意休息、保持心情愉快”，你大概会觉得这钱花得冤。网站诊断也差不多，一份报告如果通篇写着“建议优化”“注意安全”“提升性能”，那它和算命摊上的签文没本质区别，怎么说都对，怎么用都不行。网站诊断分4类这事听着像行业黑话，其实就是把一份结果按“能不能打开、快不快、安不安全、搜不搜得到”拆开，每类都有自己的检查项和判定口径，别混着看。混着看的结果，是钱花在了不疼的地方。

网站诊断分4类，先弄清你要看的是哪张脸

见过一个挺典型的场面：站点打开慢，负责人让技术去查，技术上来先跑安全扫描，再翻关键词排名，顺手还把主题换了一套。几天过去，慢的问题还在原地。不是他不努力，是没分类，所有动作都像在黑屋子里挥拳。四类诊断的路径其实是分叉的，可用性看链路和响应码，性能看资源和水管粗细，安全看入口和日志，内容和搜索看页面本身能不能被机器读懂。方向错了，工具再贵也白搭。

还有个容易被忽略的点：四类诊断的责任人往往不是同一拨人。可用性归运维，性能开发也跑不掉，安全可能还要第三方兜一层，搜索表现落在内容那边。分类分清楚，扯皮就少一半。

可用性：能打开和打不开之间没有模糊地带

可用性最容易被“有时候”这三个字糊弄过去。有时候能开，有时候转圈，手机能开电脑不能开，这种描述听着像玄学，实际全是能查的：本地DNS缓存过期没有、是不是只有某个地区打不开（多半是CDN节点或线路）、HTTPS证书过期或者证书链不全、源站端口通不通、防火墙有没有把某段IP挡住。查的时候先把对象分清楚，是我一个人打不开还是一群人都打不开，是首页打不开还是只有带参数的页面打不开。分清楚之后，一半问题自己就定位了，剩下的那半再交给工具。

性能：不能复现的数字，别往报告里写

测速结果这东西，十个工具能给八个答案，很正常。测速节点不同、有没有走缓存、页面上挂着几个第三方脚本、测的是首字节还是首屏，差别非常大。所以性能诊断的重点根本不是那个分数，而是能不能复现：同一台机器同一个页面连测几轮，波动有多大；关掉CDN直连源站，快了多少；把某张大图压小，首屏有没有提前。这些对比做出来才叫诊断，只甩一个分数就建议你换主机的，那是卖货。

再补一句，别迷信所谓的综合得分。同一台机器上的站点数量、数据库慢查询、PHP或Node的进程数、磁盘IO，任意一项卡住都会让整体看起来很差，可根因通常只有一个。找到那一个，比调十个参数管用。

安全：扫描没报警，不代表没人摸过门

安全诊断有个大坑，不少人把“扫了一遍没报高危”直接当结论。得先问清楚扫的是什么：外部黑盒扫还是登录进去做认证扫描，特征库什么时候更新的，日志有没有人看过。日志里那些反复请求 /admin、/wp-login.php、/.env 的IP，扫描器未必标红，但那才是真实的敲门声。常规检查也别忘了：目录有没有开列表、后台路径是不是默认的、组件版本是不是老得离谱、有没有来路不明的定时任务和马文件、数据库账号权限是不是给得太宽。这些做一遍，比买一年“安全套餐”实在。

另外一个习惯值得养：改动之前先做一次安全留底。改完再查，出了岔子都不知道是哪一步带出来的。

内容和搜索表现：这一类最容易被包装成算命

说实话，这一类是所有诊断里最不该被承诺的。收录多少、排第几、权重几分，牵扯的因素太多，第三方数据基本都是估算口径。谁一开口就说包上首页、诊断完必收录，对话可以到此为止。能查、能改的是另外一些硬东西：页面返回的是200还是404、robots.txt有没有误挡、sitemap能不能正常访问、canonical有没有乱指、标题和H1是不是一码事、内链有没有断成一片孤岛、移动端渲染出来的正文和PC端是不是同一份。这些是确定性的，改完能验证。至于搜索表现的具体规则，以搜索引擎官方文档为准，别拿论坛里几年前的帖子当依据。

一份能用的报告，看三条就够了

报告厚不厚不重要，翻完能不能回答三个问题才是关键。第一，这个结论能不能复现，换个人、换台机器、隔一天再测，结果一致吗。第二，能不能落到具体位置，是某个配置文件、某个进程、某段代码、某个页面，而不是一句“服务器性能不足”。第三，下次复查能不能对比，有没有留下基准数据。三条都答不上来，那报告再花哨也只是安慰剂。总分高不高真没那么要紧，要紧的是那张问题清单能不能一项一项划掉。

真要动手，顺序我一般这么排：先把可用性按住，打不开什么都是零；再从性能里挑最拖后腿的一项改；安全做一轮基础加固顺便留份日志；内容和搜索放最后慢慢磨。一次只改一处，改完测一次记个数。这几步花不了多少钱，费的是时间和耐心。至于那些上来就给你打总分、张口说包治百病的，让他先把“怎么验证”讲明白。讲不明白的，当听了个算命就行。