報告實際長什麼樣子

先修這些

這三個數字統計的是本報告各處找到的問題。上方色條統計的是另一件事：固定清單裡有多少項檢查實際執行、其中多少項結果乾淨。一項結果不乾淨的檢查，在這裡可能對應到不只一個問題；下方也有數個章節根本不在那份固定清單內。因此兩邊的合計本來就不會相同。

• 6 重大
• 6 標記
• 16 提醒

1. 嚴重：button-name這是由 axe 回報的一項問題，axe 是一套自動化的無障礙檢測工具，會拿實際算繪出來的頁面去對照 WCAG 無障礙準則。每一項都代表：用螢幕報讀軟體、只用鍵盤、或視力不佳的人，在這裡會撞上某個具體的障礙；而嚴重程度那個字是 axe 自己的分級，critical 通常代表某些人根本完成不了操作，minor 則是會卡一下、比較不順。自動檢測只能抓到真實使用者實際遇到問題的一部分，所以請把這些當成最低標準，而不是全部。它們值得優先處理，因為報告會列出確切出錯的元素，讓大多數問題只要針對性地改一下就好，不必整頁重做。
2. 嚴重：label這是由 axe 回報的一項問題，axe 是一套自動化的無障礙檢測工具，會拿實際算繪出來的頁面去對照 WCAG 無障礙準則。每一項都代表：用螢幕報讀軟體、只用鍵盤、或視力不佳的人，在這裡會撞上某個具體的障礙；而嚴重程度那個字是 axe 自己的分級，critical 通常代表某些人根本完成不了操作，minor 則是會卡一下、比較不順。自動檢測只能抓到真實使用者實際遇到問題的一部分，所以請把這些當成最低標準，而不是全部。它們值得優先處理，因為報告會列出確切出錯的元素，讓大多數問題只要針對性地改一下就好，不必整頁重做。
3. 嚴重：Content-Security-PolicyContent Security Policy（CSP）是你伺服器附在頁面上的一小段指示，列出瀏覽器可以從哪些地方載入指令碼、樣式和內嵌框架。少了它，只要有什麼東西被塞進你的頁面（透過留言欄、網址參數、或某個第三方套件的廠商被入侵），瀏覽器都會照跑不誤。有沒有這份政策，決定了這類意外是被關在一個小角落裡，還是能把整頁的內容全部讀走。你可以先用「僅回報」模式上線，這樣一邊摸清它需要哪些設定，一邊也不用擔心把網站弄壞。
4. 嚴重：Strict-Transport-SecurityStrict-Transport-Security（HSTS）是一行指示，告訴瀏覽器以後只准用加密連線連到這個網站，並把這件事記住一段時間。少了它，訪客送出的第一個請求（不管是自己打網域，還是點到舊的 http 連結）會在你的轉址生效之前，先以未加密的方式送出去，而那第一個請求，正好就是同一個網路上的人有辦法攔截的那一個。光靠轉址補不了這個縫隙，但這個 header 可以。
5. 嚴重：Stripe publishable key有一段長得像憑證、API 金鑰、存取權杖或密碼的字串，被發現在這個頁面提供的一支 JavaScript 檔案裡。每一個訪客都會下載這支檔案，所以如果它真的是一把還在用的金鑰，那不管另外還有什麼在守著它，對任何打開開發者工具的人來說它都不再是祕密了。有些比對是誤報（可公開的金鑰、測試用的假資料、本來就打算讓人看到的值），這也是為什麼那段遮蔽處理過的節錄，只留在這份報告裡，絕不會被複製到任何其他工具去。查一下這一把是不是還在用，因為如果是，唯一站得住腳的修法是把金鑰換掉，而不只是把那一行刪掉。
6. 嚴重：Analytics write key有一段長得像憑證、API 金鑰、存取權杖或密碼的字串，被發現在這個頁面提供的一支 JavaScript 檔案裡。每一個訪客都會下載這支檔案，所以如果它真的是一把還在用的金鑰，那不管另外還有什麼在守著它，對任何打開開發者工具的人來說它都不再是祕密了。有些比對是誤報（可公開的金鑰、測試用的假資料、本來就打算讓人看到的值），這也是為什麼那段遮蔽處理過的節錄，只留在這份報告裡，絕不會被複製到任何其他工具去。查一下這一把是不是還在用，因為如果是，唯一站得住腳的修法是把金鑰換掉，而不只是把那一行刪掉。
7. 警示：color-contrast這是由 axe 回報的一項問題，axe 是一套自動化的無障礙檢測工具，會拿實際算繪出來的頁面去對照 WCAG 無障礙準則。每一項都代表：用螢幕報讀軟體、只用鍵盤、或視力不佳的人，在這裡會撞上某個具體的障礙；而嚴重程度那個字是 axe 自己的分級，critical 通常代表某些人根本完成不了操作，minor 則是會卡一下、比較不順。自動檢測只能抓到真實使用者實際遇到問題的一部分，所以請把這些當成最低標準，而不是全部。它們值得優先處理，因為報告會列出確切出錯的元素，讓大多數問題只要針對性地改一下就好，不必整頁重做。
8. 警示：隱私權政策連結這次掃描讀過頁面上每一個連結，想找出一個通往隱私權政策的連結，也就是告訴訪客你會蒐集他們哪些資料、又拿去做什麼的那份文件，結果一個都沒找到。想查的訪客無從查起，而 app 商店、廣告平台和金流業者，也常常會拒絕或停用拿不出這份文件的網站帳號。這項檢查只看得到它拿到的這一頁，所以如果政策其實放在別處，補救辦法多半就是在頁尾補上一個連結。
9. 警示：點擊劫持防護(X-Frame-Options 或 frame-ancestors)這裡沒有任何設定告訴瀏覽器：別的網站到底可不可以把你的頁面載入到一個框架（frame，也就是嵌在他們頁面裡的一扇小視窗）裡。這會讓「點擊劫持」（clickjacking）有機可乘，也就是有人把你真正的頁面透明地疊在他自己的按鈕上，訪客以為自己點的是一個東西，實際上點到的卻是你的頁面。這件事在有登入後、值得被劫持的操作時最要緊，在純介紹用的靜態頁面上就沒那麼重要，但不管哪種情況，修正都只是加一個 header，實在沒什麼理由讓它一直開著。
10. 警示：X-Content-Type-Options: nosniff這是一行指示，要瀏覽器相信你伺服器宣告的檔案類型，而不要自己看內容去猜。少了它，瀏覽器有可能把你以純文字、或以使用者上傳檔形式提供的東西，判定成其實是 JavaScript 或 HTML 並且執行它，看起來人畜無害的上傳檔就是這樣變成可執行的程式碼。這個值是固定的，沒有任何要依網站情況決定的地方，也幾乎不可能弄壞什麼，是整份報告裡最不費力的項目之一。
11. 警示：Referrer-Policy 會將完整網址送往任何來源(unsafe-url)Referrer-Policy 控制的是瀏覽器會把你這頁網址透露給別的網站多少，而你設的那個值，是把整串網址（連路徑和查詢字串一起）交給每一個目的地。只要你的網址裡帶著任何密碼重設權杖、搜尋字詞、客戶編號或訂單代號，這個值就會被送到第三方去，包含頁面上每一支分析和廣告指令碼。這一項的評級之所以高於「單純沒設政策」，是因為這個 header 是存在的，而且是主動選擇了會外洩的那個行為，改一個字就能修好。
12. 警示：Cookie Secure 屬性cookie 是你網站請瀏覽器保存、並在每次造訪時帶回來的一小段資料，常常就是讓人保持登入狀態的那個權杖。你至少有一個 cookie 沒設 Secure 屬性，這代表瀏覽器願意透過未加密的連線把它送出去，而在同一條網路路徑上的任何人都讀得到。受影響的 cookie 名稱列在證據裡，這只是在每個設定它的地方加上一個選項而已。

16 項發現，列在下方各段落