监控网页第三方脚本风险
各维度得分依据公开资料与字段推算,加权后即综合评分,仅供参考。
Driftbot 是一个面向 Web 应用的软件供应链风险监控工具。它以免费开源 toolkit 的形式运行在 GitHub Actions 中，使用无头 Chrome 访问站点，模拟真实用户行为，以发现意外的第三方脚本、未知外部主机以及可疑或恶意代码风险。其关注场景包括 Magecart 类信用卡信息窃取、浏览器挖矿、凭证窃取、恶意广告代码和恶意软件投放等。
从防护类型看，Driftbot 更偏“监控与告警”，而不是传统 WAF 或端点防护。它可监控单个页面，也可录制并回放复杂用户流程，从而覆盖结账、登录等关键路径。部署方式较轻量：在公共或私有 GitHub 仓库中作为 GitHub Action 运行，适合已有 GitHub 工作流的团队。检测到未知 host 后，会自动创建 GitHub Issue，开发或安全人员再审核该 host 是否应被批准。
正文明确写明 Driftbot 是 Free and open-source，未披露商业版本、订阅价格、企业 SLA 或付费支持，因此定价透明但商业支持信息不足。合规认证方面未见 SOC 2、ISO 27001 等说明。集成能力主要围绕 GitHub：可使用现有 GitHub 账号、GitHub Actions 以及公有/私有仓库，告警也通过 GitHub Issue 落地，适合开发团队协同处理。
优点是开源免费、部署简单、与 CI/CD 流程贴合，并且通过真实浏览器行为观察运行时第三方依赖风险，比单纯依赖依赖清单更贴近前端实际攻击面。缺点是能力边界相对清晰：未看到集中管理控制台、合规报表、权限分级、威胁情报联动、自动阻断或企业级支持说明；检测覆盖度也依赖用户配置的页面和流程是否充分。
Driftbot 适合使用 GitHub 的中小型开发团队、安全工程师、电商站点和有登录/支付流程的 Web 应用维护者，用作轻量级第三方脚本与外部主机变更监控。中国访问情况正文未提供，判定为未知；实际使用还会受 GitHub 与 GitHub Actions 网络可达性影响。若需要更完整的软件供应链治理，可对比 Snyk、Socket、Dependency-Track、Dependabot 等；若专注前端 Magecart/脚本风控，可评估 Source Defense、Feroot 等方案。
本测评基于公开资料整理,不构成购买建议,请以 driftbot.io 官网实际信息为准。
开源GitHub Actions工具，适合前端安全监控。
评分明细(分布与用户短评)接入中。当前展示 TG4G 综合评分,数据源自公开测评与用户反馈。