DebugBear脚本被劫持，SEO团队该查什么

今天早上看到 DebugBear 发的那封安全通知，心里咯噔一下。做 SEO 的同行应该都熟悉这家，它的 Real User Monitoring 脚本是很多站点用来盯 Core Web Vitals 的标配工具。现在官方直接让客户把脚本从网站上撤下来，说明事情不小——攻击者已经动到了它的 DNS 记录，监控脚本里被塞进了恶意 JavaScript。

对我们这种依赖第三方脚本的站点来说，这其实是个老问题被再次放大：你信任一个工具，就等于把一段可执行代码的权限交给了它，而它的安全边界往往取决于它自己的 DNS 和基础设施。DebugBear 这次是被攻破了 DNS，不是脚本本身有漏洞，但结果一样——用户浏览器加载的代码可能已经被篡改。我建议 SEO 负责人今天就做三件事：一是让开发确认页面里是否还挂着 DebugBear 的 RUM 脚本，有就先摘掉；二是排查相关账号有没有异常登录、权限变更或后门；三是顺手把其他第三方监控脚本也过一遍，看有没有非预期的改动。别只盯着这一个工具，供应链上的每一环都值得问一句「最近动过吗」。从判断上说，我不觉得这是要彻底否定第三方监控工具，但确实该重新评估「默认信任」的习惯。能自托管的尽量自托管，不能的至少加上脚本完整性校验和变更告警。SEO 团队平时更关注排名和流量，可一旦脚本层出事，页面体验数据失真还是小事，把用户导向恶意页面才是真麻烦。最后提醒一句，官方通知里提到的脚本 ID 因站点而异，别照着别人的代码瞎删，让开发按自己站点的实际嵌入代码来处理。安全这事，慢一点比错一步强。