安全性說明

最後更新：2026-08-20

本服務的核心功能是「由伺服器代使用者讀取指定網址」。這類功能若無適當控制， 可能被用來探測內部網路或攻擊第三方網站。以下說明我們實際採取的控制措施。

防止存取內部網路（SSRF）

• 僅允許 HTTP／HTTPS 與標準連接埠，拒絕其他協定與帳密夾帶
• 解析網域後逐一比對私有與保留網段（IPv4 與 IPv6），包含雲端 metadata 位址
• 連線時鎖定已驗證的 IP，防止驗證後遭掉包（DNS rebinding）
• 轉址不交由底層自動跟隨，每一跳都重新執行完整驗證

資源上限

• 回應大小上限（以解壓縮後的內容計算，可防止壓縮炸彈）
• 單次檢測的總請求數與總時間預算
• 網頁結構複雜度上限，超過時降級解析而非耗盡運算資源

用量控制

• 依來源計算的每分鐘與每日檢測上限（訪客與會員分別計算）
• 相同網址的結果快取，以及同一目標網域的每小時檢測上限
• 全站總量閥值，作為分散來源同時湧入時的最後一道剎車

稽核與監控

• 每次檢測要求皆留存稽核紀錄（來源、目標、結果），來源以單向雜湊保存，不留明文 IP
• 被阻擋的要求單獨標記，並定期檢查異常樣態後通知管理員
• 稽核紀錄有保存期限並自動清理

對目標網站的尊重

我們使用可辨識的 User-Agent，並提供自助退出管道。 詳見 AeoBot 爬蟲說明。

回報安全問題

若您發現本服務的安全性問題，請透過 聯絡表單 與我們聯繫。我們歡迎善意的漏洞回報，並會儘速處理。