用 Bolt 做好了。链接能放心分享吗？
在 Bolt 里直接从页面调用 OpenAI、Stripe 或 Supabase 很容易——把私密密钥一起发布出去也同样容易。粘贴你已部署的 Bolt 应用网址，看看陌生人能从中找到什么。
免费，无需注册。基础检测只发送普通浏览器会发送的请求。
我们在 Bolt 应用上检查什么
- 严重免费检测
前端里的 OpenAI、Anthropic 或 Stripe 私密密钥
从浏览器调用的密钥，就是任何人都能复制的密钥。我们在页面及其脚本中搜索已知的密钥格式，并以打码形式展示找到的内容。
- 严重Pro
任何人都能访问的 Supabase 数据表
如果你的 Bolt 应用使用 Supabase，验证域名后我们会检查它的表能否用公开密钥读取——只统计行数，从不读取内容。
- 中免费检测
托管平台没帮你加上的安全响应头
Netlify 等托管平台只会按你的配置提供内容。没有 Content-Security-Policy 和 HSTS，网站更容易被攻击和仿冒。
- 中免费检测
资源加载失败和控制台报错
线上页面中加载失败的脚本和 JavaScript 错误——就是那种在预览里正常、到生产环境就坏掉的问题。
Bolt 能看懂的提示词
报告会给你一段现成的提示词：问题是什么、在哪里、如何验证修复。粘贴到 Bolt 里，让它来改。
修复 my-bolt-app.netlify.app 上的这些问题。 1. assets/index-c41e.js 中有 OpenAI API 密钥（sk-…a3F9）。 在 OpenAI 控制台吊销它，把调用移到 serverless 函数中，并在那里从环境变量读取密钥。 2. 没有 Strict-Transport-Security 响应头。 在 netlify.toml 中为所有路径添加它。 完成后重新检测：https://scanyoursite.app/zh?check=my-bolt-app.netlify.app
Bolt 重写，我们复查
开通 Pro 后，我们会察觉每一次重新部署，并在几分钟内检测新版本：是否在线、能否渲染、有没有密钥又溜进脚本里。只有出现新问题时，你才会收到我们的消息。
查看方案常见问题
你们需要访问我的 Bolt 项目吗？
不需要。我们像访客一样从外部检测已部署的网站。无需安装，也不用连接任何账户。
我发现了一个密钥，现在怎么办？
先在服务商那里吊销它——就当它已经被复制了。然后把调用移到服务端函数。报告里的提示词会一步步引导你的 AI 完成。
支持 Firebase 吗？
密钥检测适用于任何前端。数据表级别的检测仅支持 Supabase。
粘贴网址，大约一分钟拿到清单。
每条发现都会说明它对你意味着什么、该如何修复——或者给你一段 AI 编程工具可以直接执行的提示词。
免费，无需注册。基础检测只发送普通浏览器会发送的请求。