从关键路径开始，而不是一次性大扫荡
选择五到十个 URL，并为每个定义预期结果：确认页、收据、CRM 记录或供应商交接。包含公开页面和那些会产生收入、建立信任、产生支持需求或带有法律义务的操作。在已登出窗口和手机上以访客身份测试。
如果关键步骤由第三方负责，绘制交接地图并记录支持联系方式。你可以测试自己的过渡，但无法为第三方出具证明。将发现分类为阻断项、重大降级或改进项，以免外观类工作掩盖了已损坏的关键路径。
覆盖那些会产生收入、建立信任、产生支持需求或承担法律义务的路径。
每一项重大发现都需有明确的负责人和目标日期。
检查可访问性使用性，而不仅仅是外观
可访问性意味着人们能够使用不同的输入方式和辅助技术感知并操作网站。在选定页面上，使用 Tab 键遍历导航、菜单、控件和表单。检查可见的键盘焦点、在无鼠标情况下关键控件的可操作性，以及到主内容的路径。W3C 的 Easy Checks（快速检查）将键盘焦点和跳转链接（skip link）列为有用的初步检查项。
检查有意义的图片文本、页面标题、标题层级、对比度、缩放行为、必要时的媒体替代项、表单标签、必填字段和可理解的错误提示。发送一个不含敏感信息的测试提交。这不是合规性审核：W3C 警示页面可能通过快速检查但仍存在显著障碍。对高风险工作、重设计或已知问题应委托合格评估。
测试标签、说明、错误提示以及实际达到确认页的完整路径。
替代文本应传达图片目的；标题应组织页面内容。
审查可发现性，但不承诺排名
SEO（搜索引擎优化）既帮助搜索引擎理解内容，也帮助用户判断是否从搜索结果访问。对每个优先页面，以新访客身份阅读标题、主标题、开头文案、URL 和内部链接。它们应该说明页面目的并引导到有用的下一步。Google 建议使用描述性 URL、有用的内容和描述性链接文本。
如果使用 Google Search Console，请在重大发布后检查关键 URL。Google 指出 URL Inspection（URL 检查）可以帮助查看其爬虫如何看待页面以及是否能访问重要资源。纠正意外阻塞、断开的内部链接或不清晰的路径，然后给予重新抓取时间。Google 不保证收录或排名。
在已登出状态下打开内部链接，记录 404 页面、循环和不相关的目的地。
观察访客实际感知的交付
交付包含服务器响应、图片、字体、脚本、缓存与第三方组件。在优先页面运行浏览器性能检查，然后在真实手机上重复核心任务。记录主要内容加载延迟、控件响应慢、布局跳动、资源失败或阻挡任务的横幅。Core Web Vitals 是 web.dev 的用户体验框架；使用其度量来聚焦调查，而不是替代路径测试。
与实现者一起审查新标签、组件、嵌入、字体和图片更改。HTTP 缓存会重用先前响应。MDN 解释了 Cache-Control 如何传达缓存指令，且缓存响应可为新鲜或过期。发布后比较普通与新会话，然后请技术负责人检查头信息和 CDN 规则。在不了解隐私与发布影响前，避免全面清理缓存的做法。
记录主内容是否出现、页面是否保持稳定以及关键控件是否响应。
MDN 指出仅凭 cookie 并不意味着响应为私有；请技术负责人审查个性化缓存。
确认安全基线并保护支付变更
所有者检查可以发现可见缺口，但这不是渗透测试。通过 HTTPS 打开公网站点并尝试 HTTP。OWASP 建议对所有页面使用 TLS，并描述将公网 HTTP 流量重定向到 HTTPS 作为常见做法。将证书或混合内容警告、意外域名和返回内容而非安全重定向的 HTTP 页面升级处理。
确认发布、域名、DNS、支付、插件和备份访问的当前所有权。合格的安全专家或服务提供方应审查 TLS 配置、打补丁、认证、服务器配置和日志。对于支付，仅使用供应商批准的测试方法或安全的非生产环境。切勿在非正式测试中使用真实卡号或凭据，也不要声称视觉检查能证明符合 PCI 合规。
将证书警告、不安全内容警告或意外重定向视为发布阻断问题，直至调查清楚。
将疑似被入侵、安全需求和支付合规问题上报给合格评审人员。
验证恢复并闭环处理
列出能重建优先路径的要素：应用版本、数据库、上传媒体、配置位置、DNS 与域访问、集成设置和供应商联系人。CISA 建议识别关键数据、保护网站与运营数据库、确保备份安全并测试恢复。询问上次恢复测试时间、恢复了哪些内容、花了多长时间以及谁有权批准。尽可能在安全环境中演练。
在发布前明确先前版本、回滚触发器、批准人以及 DNS、缓存、数据库模式和第三方变更的处理方式。备份并非即时修复，回滚可能无法逆转外部数据或支付事件。保留发现登记表，记录证据、负责人、日期和复测结果。
比起只说“备份已运行”，记录范围、日期、结果和缺口更有力。
在相关环境中对原先失败路径进行验证以确认修复。