如果您运行 WordPress 网站或 Supabase 支持的应用程序，您可能已经站在这个岔路口：安装安全插件，还是运行外部安全扫描仪？两者都承诺会发现问题。他们不会从同一个地方查看您的网站，这种差异就是整个购买决策的关键。
插件使用其已有的访问权限从内部检查您的网站。扫描仪从外部检查您的站点，与攻击者具有相同的有利位置。两者都不能取代对方，但它们确实有不同的盲点。以下是如何判断您真正需要哪一个以及何时需要两者的方法。
安全插件从您的网站内部检查什么
WordPress 安全插件作为代码在您的网站上运行，因此它可以看到访问者永远看不到的东西。
登录和用户活动。 失败的登录尝试、暴力模式、弱密码、新的管理员帐户以及用户角色的更改。
文件完整性。 核心、主题或插件文件是否发生意外更改。
应用层的防火墙规则。 在应用程序处理已知的恶意请求模式之前阻止它们。
恶意软件和内容。 扫描上传和帖子中注入的脚本或垃圾邮件链接。
这种内部观点确实有用。插件可以随着时间的推移监视可疑行为，就新的管理员帐户向您发出警报，并在登录攻击发生时阻止它。如果您日常管理 WordPress 站点，应用程序层插件是一个合理的基准。
问题是插件只知道它安装的环境中发生了什么。它必须被安装、配置并保持更新。它以与您的站点相同的权限运行，因此到达应用程序层的妥协也会影响监视它的工具。它在 CMS 之外的覆盖范围因插件而异；域名、TLS 和电子邮件配置可能需要单独检查。
基于域的扫描仪从外部看到的东西是插件错过的
外部扫描仪不需要凭据、安装或管理员访问权限。它以互联网看待域名的方式测试您的域名，并报告每个发现背后的证据。
传输和域卫生。 TLS 证书配置、HTTP 安全标头、DNS 记录以及确定您的域是否可以被欺骗的电子邮件身份验证记录。
暴露的表面。 可访问但从未公开的端点、文件和服务。
配置错误。 默认设置、详细错误、缺少访问控制以及错误配置的存储（例如 Supabase 行级安全策略）。
覆盖范围超出 CMS。 Web 应用程序、WordPress 安装、Supabase 和 RLS 以及 AI 或 RAG 应用程序，具体取决于所选的扫描和可用的访问。
这是映射攻击通常如何开始的视图。攻击者不会从您的管理仪表板开始。他们从公众可以接触到的内容开始。扫描仪回答了插件在结构上无法回答的问题：对于从未登录过的人来说，我的网站是什么样子？
诚实的限制是范围。扫描会测试在该扫描期间可以达到的范围，而干净的分数仅描述测试的范围。它并不是一个网站完全安全的证书，也没有任何工具可以保证检测到每个漏洞。
两者重叠的地方以及真正的差距在哪里
两者都会出现一些应用层问题，因此公平地询问您是否支付了两次费用。
重叠是真实的，但很窄。插件的防火墙和扫描仪的暴露检查都可以标记易受攻击的插件版本或明显的错误配置。差距在于您的应用程序周围的一切：域、证书、标头、DNS 和电子邮件记录、您的应用程序所依赖的云服务以及悄悄响应公共互联网的端点。这就是外部扫描占据一席之地的地方，这是许多插件没有完全覆盖的一层。
证据也存在差异。插件通常会告诉您网站内有些可疑的内容。扫描仪会向您显示暴露的标头、可到达的路径或缺失的策略，然后为您提供可以采取行动的纠正指导以及重新扫描和确认已实施的更改的方法。
如何将两者结合起来而不重叠或浪费精力
这两个工具是互补的，而且划分很简单：使用插件来实现应用程序内部的行为，使用扫描仪来实现互联网可以到达的所有内容。
首先运行外部扫描。 它不需要安装，因此它可以在几分钟内为您提供攻击者的视图，并告诉您哪些配置问题是公开可见的。
修复扫描发现的内容，然后重新扫描。 手动标记修复会请求重新检查，但只有类似的重新扫描才能确认它确实已解决。校正跟踪仅在闭环时才有用。
保留插件的运行时行为。 登录攻击、恶意软件和文件更改正在发生内部事件。让插件监视它们。
按计划进行监控。 通过电子邮件或 Discord 警报进行的计划扫描可以在堆栈发生变化时保持外部视图最新，无需专门的安全团队。
如果您拥有多处房产，这也是计划分割的重要之处。 Solo 适合您拥有的单一产品。 Pro 适合客户站点和团队，通过额外的付费席位添加白标报告和团队访问权限，以及共享域、结果、扫描和计划配额。
您真正需要哪一个？
您维护着一个 WordPress 站点，并希望在其中工作时得到保护： 安全插件是一个明智的开始，但它不会告诉您您的域公开了什么。
您构建或托管了一个应用程序，并想知道哪些内容是可公开访问的： 你需要一个外部扫描仪。
您在生产中运行 Supabase、WordPress 或 AI/RAG 应用程序： 将外部检查与适合您的堆栈的控制相结合； WordPress 插件仅适用于 WordPress。
错误在于将此视为非此即彼的决定。插件可以保护您网站的内部。扫描仪会告诉您外部所看到的情况。大多数小团队在这条线的两边都有真正的曝光度。
VICE 专为外部视图而构建：跨 Web 应用程序、WordPress、Supabase 和 RLS 以及 AI/RAG（具体取决于所选扫描）的可操作结果，包括证据、纠正指导和重新扫描以验证修复。您可以在注册前开始免费的轻量级安全扫描，您的域名和结果将在您注册时保存到您的帐户中。完整、自定义和专业扫描需要经过验证的域和付费订阅或购买积分。如果您想从外部准确了解您的域的外观，请开始免费扫描并将结果与您的插件告诉您的结果进行比较。
