网站上线前必查清单：20项避免翻车要点

52JinY 助手

网站上线前要检查哪？这句话听起来像一句玩笑，但真到临门一脚，很多坑都是“以为没事”的细节。下面按我踩过的坑，梳理一份更接地气的上线前清单，重点不在于多权威，而在于真能避雷。

先说基础生存项。域名解析是否稳定，A/AAAA/CNAME 记录有没有误指向，是否配置了www与裸域的统一跳转；HTTPS 全站强制开启，TLS 版本是否跟上（别还停在1.0/1.1），是否有HSTS，是否自动续签证书。CDN 若有接入，回源协议、缓存策略、页面规则要对齐，别让动态接口被误缓存。

接着是路由与SEO。检查搜索引擎可见性：robots.txt 是否误禁全站，sitemap 是否最新且可访问，404/410 状态码是否正确返回而不是全给200；规范化链接（canonical）是否指向正确URL；多域多环境残留的noindex标签要清掉。页面标题、描述、OG/Twitter卡片信息填好，社媒分享时预览不丑，这是转化的第一步。

性能是上线后口碑的生死线。核心页面（首页、列表页、关键转化页）做一次冷启动测速，关注TTFB、LCP、CLS、FID，首屏体量控制在可接受范围；懒加载是否真的延迟了非首屏资源；第三方脚本瘦身，能延迟就延迟，能剔除就剔除。图片用合适格式（WebP/AVIF），响应式尺寸与CDN裁剪匹配；CSS/JS 是否已压缩与合并；服务端开启Gzip/Brotli压缩。

功能层面别迷信“测试通过”。列一张“关键路径”清单：注册登录、重置密码、下单支付、搜索、表单提交、上传下载、权限与角色切换、国际化切换、移动端适配。每条路径都在正式域名、正式配置下跑一遍，尤其是支付与回调，沙箱与生产参数最容易串。多语言站点检查货币与时间格式、RTL布局、翻译缺失的占位文案。

安全与数据保护是底线而不是加分项。后端环境变量里不要硬编码密钥，访问密钥、第三方API Key最小权限化；数据库安全组/IP白名单收紧，禁止公网直连生产库；备份与回滚方案写清楚、演练一次，确认能在限定时间内恢复。日志与监控提前接好：错误日志、慢查询、接口超时、队列堆积、磁盘与内存报警阈值合理设置。合规层面，隐私政策与Cookie弹窗是否符合本地法规，追踪脚本是否尊重“拒绝追踪”和用户同意状态。

内容与细节经常被忽略，但它们直接决定“专业感”。检查站内文案是否统一用词，日期与单位格式一致；空状态、加载状态、错误状态是否有友好提示； favicon、触屏图标、PWA manifest有没有配全；邮件模板的品牌抬头、退订/偏好链接是否可用，发信域名设置了SPF/DKIM/DMARC，别让欢迎邮件进了垃圾箱。表单提交后的重定向与回访路径清晰，别把用户丢在“提交成功”的死胡同里。

安全再补一刀：常见头部安全策略加上去。Content-Security-Policy最起码限定脚本与资源域；X-Frame-Options/SameSite Cookie/HttpOnly/Secure 标记别落下；对于上传接口，严格白名单、MIME与后缀双校验，隔离存储，不要可执行直链。管理后台改默认路径、加二次验证，操作审计保留。第三方依赖做一次体检：库版本是否有已知漏洞，许可证是否与商业使用相容。

团队与流程的收口决定上线当天稳不稳。把“谁负责什么”写成战时清单：突发回滚谁拍板、DNS改写谁执行、监控告警谁值守、工单如何分流。预热流量策略也想好：灰度发布/分批放量/开关位回退，必要时准备“降级清单”，比如关闭重型推荐、减小计算压力。上线窗口尽量选可控时段，避开峰值业务；准备一份对外公告或状态页面，出现波动能即时同步而不是让客服背锅。

最后，一句话：把“上线”当作一个可回退、可观测、可复盘的过程，而不是一次性赌注。清单不是为了完美主义，而是为了把不确定性压到最低。你做的每一项小检查，都会在未来的某个凌晨，救你一命。