新站上线前总要做一轮自查：证书链全不全、安全响应头缺没缺、日志往外发之前有没有夹带用户的身份证号。这类检查单靠肉眼容易漏，等出了事再补，代价可比上线前扫一遍大得多。站点的安全自查工具攒到 13 件，按「传输与证书、密码学与密钥、数据合规」三组过一遍，发版前对着勾，漏一项都可能上新闻。

传输与证书：先把门面撑住

把域名贴进🔧 SSL/TLS配置检查器 ，协议版本和弱加密套件全被点名，还开着 TLS 1.0 的老服务当场现形。上线前核对🔧 SSL/TLS证书验证器 ，证书链、有效期、域名匹配逐项看，临期一个月就该续，别等浏览器报红才想起。地址栏还没挂上锁之前，先让🔧 安全头检查器 给 CSP、HSTS 这些响应头打个分，缺哪条补哪条。返回头一长串看不懂，🔧 HTTP头分析器 逐条解释每个字段在干什么，排查缓存和跨域问题也用得上。

密码学与密钥：把锁配齐

敏感配置要存进数据库，🔧 AES加密/解密工具 现场加解密走一轮再定方案，别到联调才发现参数不兼容。给新服务签发凭证，🔧 RSA密钥对生成器 直接产出 PEM 格式，公私钥分开存好。口令入库前先过🔧 Argon2哈希生成器 ，参数按当前硬件拉满，拖慢离线爆破。老系统只认 PBKDF2 的话，🔧 PBKDF2生成器 把迭代次数给足、盐值换新也能用。生成密钥和令牌别拿普通随机数凑数，🔧 加密伪随机数生成器 才是合格来源，可预测的随机数等于没锁门。后台管理再加一道双因子，🔧 OTP认证器 生成和校验动态口令，管理员账号先上，短信验证码可以退休了。

数据合规：别把秘密带出门

日志要共享给第三方分析，先用🔧 PII信息检测器 扫一遍，身份证、手机号一个都别漏，整改通知比提前扫描贵多了。测试环境想用真实数据，🔧 数据脱敏工具 把手机号和邮箱打码之后再给，批量数据也能过。排查配置里的转义和编码问题，🔧 编码转换器 是顺手的小辅助，安全检查经常就从一段看不懂的配置开始。

13 件自查工具全部在浏览器本地运行，检查过程不留痕，敏感数据不用贴给任何在线服务。证书和加密只是外围防线，加密算法本体的全套工具收录在隐私防护套装专题里，搭配着用更完整。