TECHNICAL AUDIT · 竞品站点技术分析

三个独立站，其实是
「一套系统 + 三个门面」

对英文主站、纯纸站、中文站做的一次公开、被动的技术体检：DNS、服务器、CDN、SSL、建站程序、缓存、性能、SEO 与安全配置。全部结论均来自实测响应头、证书、注册信息与首页源码。
英文主站 www.packb2b.com 纯纸站 www.papercushion.com 中文站 www.shinerpack.com
检测时间：2026-11-11 14:18–14:40（GMT+8） · 方法：被动探测，未登录后台、未做漏洞扫描或压测
① 一句话结论② 访问链路③ 服务器与部署 ④ 三站画像⑤ 克隆证据⑥ 性能实测 ⑦ 问题清单⑧ 改造顺序⑨ 名词小抄⑩ 方法与边界
01

一句话结论

三个网站 = 同一个 Cloudflare 账号 + 同一类 LiteSpeed 源站 + 同一套 WordPress / WooCommerce / Blocksy 模板。其中「纯纸站」和「中文站」几乎是一模一样的双胞胎。

更直白点：这是典型的外贸建站公司交付的 WordPress 模板站——便宜、好改、上线快；但性能调优、SEO 基础设置、安全加固基本还停留在"能打开就行"的阶段。技术上跑得起来，商业上还有不少漏水的口子。

3 → 1
3 个域名，共用 1 对 Cloudflare 名称服务器（同一账号）
1053
纯纸站与中文站首页页面 ID 完全相同（数据库克隆）
24 年
主域名 packb2b.com 注册于 2002 年，SEO 老资产
40 天
papercushion.com 2026-12-21 到期，且未配邮箱
✅ 做得不错
Cloudflare 隐藏源站 IP；TLS 1.3 + HTTP/2/3；Let's Encrypt 证书自动续期；Brotli 压缩；源站有 LiteSpeed 页面缓存；图片懒加载。
⚠️ 明显短板
未强制 HTTPS、无安全响应头；网页不进 CDN 缓存；首页 HTML 半兆以上；网址是 ?page_id= 格式；没有站点地图；三站无 hreflang 互认。
🔧 值得立刻做
开 Always Use HTTPS + HSTS；修中文站 79 处 http 图片；续费域名并配邮箱；升级旧版 WordPress；改固定链接并生成 sitemap。
02

一次访问是怎么走的

用「开店」打比方：访客看到的是招牌，接待他的是连锁前台，真正做菜的后厨藏在后面，外人查不到地址。

访客浏览器 欧美 / 全球买家 https://www.xxx.com Cloudflare 边缘 全球连锁「前台 + 保安」 104.21.x.x / 172.67.x.x SSL 证书 · Brotli · HTTP/2/3 WAF · 隐藏源站 IP ⚠ 网页 cf-cache-status: DYNAMIC 每次回源 LiteSpeed 源站 真正的「后厨」· IP 不可见 LiteSpeed Web Server LSCache 7.9 / 7.8.1 页面缓存 PHP · QUIC.cloud CSS 优化 ✓ x-litespeed-cache: hit WordPress WooCommerce Blocksy 主题 AIOSEO / CF7 MySQL 数据库 现拼出 500–680 KB HTML 返回：Brotli 压缩到 60–96 KB → 浏览器渲染 100+ 张图片（懒加载）
图示依据实测响应头绘制：Server: cloudflare、cf-cache-status: DYNAMIC、x-litespeed-cache: hit、404 页 "Proudly powered by LiteSpeed Web Server"。
说人话 好处是真实服务器被藏起来（抗攻击）、全球就近接入；代价是前台没配好页面缓存，每位访客都要让后厨现做一份，速度自然慢。
03

服务器与部署：到底查到了什么

项目实测结果说人话
权威 DNS三域名 NS 都是 bella.ns.cloudflare.com + sri.ns.cloudflare.com三个域名在同一个 Cloudflare 账号里，同一批人配置
对外 IPpackb2b 104.21.10.45 / 172.67.189.237；papercushion 104.21.55.250 / 172.67.174.210；shinerpack 104.21.38.211 / 172.67.168.124全是 Cloudflare 共享 IP（ipinfo 确认 AS13335 Cloudflare），不是真实服务器 IP
源站 IP公开渠道查不到，所有子域也都指向 Cloudflare被 CDN 藏得很好，这是正确做法；但也意味着机房位置、云厂商无法确证
源站 Web 服务器LiteSpeed Web Server（404 页签名 + x-litespeed-cache + ETag 尾部 ;;; 特征）不是常见的 Nginx/Apache，是外贸主机常见的 LiteSpeed 方案
缓存加速LiteSpeed Cache 7.9（英文站/纯纸站）、7.8.1（中文站）；QUIC.cloud CCSS/UCSS 关键 CSS 优化；Guest Mode源站做了页面缓存和 CSS 精简；Cloudflare 只当门面，未启用 WordPress 专用加速 APO
CDN 缓存HTML cf-cache-status: DYNAMIC；静态图设了 7 天缓存，实测仍 MISS网页本身没缓存在边缘，每个访客都要回源；图片缓存也没稳定命中
协议 / 压缩Brotli；TLS 1.3 + TLS_AES_256_GCM_SHA384；ALPN 协商 h2；alt-svc: h3 支持 HTTP/3；X25519MLKEM768 混合密钥交换传输层是新版、合规的，这块做得不错
SSL 证书Let's Encrypt（YE1/YE2），ECDSA 256 位，覆盖 *.域名 + 根域；2026-10-21 签发、2027-01-19 到期Cloudflare 免费通用证书，90 天自动续，不用人工操心；三张证同日签发
泛域名解析随机子域如 zzq-random-88123.packb2b.com 也解析到同样 CF IP（对照的不存在域名正常 NXDOMAIN）DNS 配了 * 通配符，任何子域都被接住，方便但易被垃圾子域滥用
域名注册均在阿里云 / HiChina 注册：packb2b.com 2002-09-24（2027-09-24 到期）、shinerpack.com 2014-12-20（2027-12-20 到期）、papercushion.com 2022-12-21（2026-12-21 到期）；三者 2026-04-27 同日变更主站是 24 年老域名，SEO 底子好；纯纸站下月到期要盯紧；同日变更坐实统一运维
企业邮箱packb2b → 腾讯企业邮（SPF ~all）；shinerpack → 阿里企业邮（SPF -all）；papercushion → 无 MX、无 SPF三个站邮箱各管各的；纯纸站没配邮箱，询盘表单很可能发不出信
边缘节点CF-RAY 落在 LAX / SEA这是本次检测流量的出境节点，不代表服务器在美国
关于「服务器到底在哪」——诚实的回答

能确证的只有：源站是 LiteSpeed + PHP + MySQL 这套组合、域名在阿里云、邮箱分腾讯/阿里两套。Cloudflare 把源站 IP 藏得很好，所有子域都走 CDN，无法从外部确定机房国家和云服务商。从跨境响应时间与这套组合的常见用法推测，大概率是境外（美西 / 亚太）的 VPS 或外贸虚拟主机——但这是推测，没有实证，不建议当成结论写进采购或迁移方案。

04

三个站各自长什么样

维度packb2b.com
英文主站		papercushion.com
纯纸站		shinerpack.com
中文站
页面语言标记en-US ✅ 与定位一致zh-Hans ⚠️ 却写英文描述zh-Hans ✅
首页标题Home - ShinerPackHome - Paper CushionHome - ShinerPack
meta 描述英文英文，与中文 lang 冲突中文
WordPress6.4.2（偏旧）7.1.47.1.4
WooCommerce8.4.38.8.78.8.7
AIOSEO5.0.54.6.1.14.6.1.1
LiteSpeed Cache7.9（CCSS/UCSS 已生成）7.9（UCSS 排队中）7.8.1（UCSS 排队中）
首页 HTML680 KB / 114 张图509 KB / 100 张图507 KB / 100 张图
Brotli 后≈96 KB≈63 KB≈63 KB
首页页面 ID2212510531053
联系表单 ID—wpcf7-f3018-p1053wpcf7-f3018-p1053
统计代码GTM-WCKNWTXH + GA旧版 GA 引用旧版 GA 引用
历史残留1 处 localhost 图片引用演示站 startersites.io 素材79 处 http:// 明文图片 + 演示站素材
缓存时间戳时区UTCUTC+8UTC+8

共同技术栈

技术事实 WordPress + WooCommerce + Blocksy 主题（Blocksy Companion Pro）+ LiteSpeed Cache + AIOSEO + Contact Form 7 + Gutenberg + jQuery + Google Fonts + Google Analytics。图片全部自托管在 wp-content/uploads，使用懒加载（data-litespeed-src），部分文件名是中文。

说人话 一整套「开源建站全家桶」：WordPress 是地基，WooCommerce 管产品，Blocksy 管长相，AIOSEO 管 SEO，CF7 管询盘表单，LiteSpeed 管加速。优点是便宜、插件多、会用的人多；缺点是插件一多页面就臃肿，版本不一致就容易出问题。
05

「双胞胎」的证据链

纯纸站与中文站不是"风格相似"，是数据库层面的整套复制：

EVIDENCE 01
页面 / 表单 ID 完全一致
首页页面 ID 同为 1053，联系表单同为 wpcf7-f3018-p1053，导航里的 ?page_id=1048 / 3484 / 2139 与分类 slug 逐条对得上。克隆数据库才会这样。
EVIDENCE 02
版本与配置完全一致
WordPress 7.1.4、WooCommerce 8.8.7、AIOSEO 4.6.1.1、插件清单、robots.txt 字节数（2676，三站全同）、Cloudflare 托管 robots 规则，一模一样。
EVIDENCE 03
页面结构几乎逐字节对齐
首页 HTML 只差 2.6 KB，图片数量同为 100 张，内联 style/script 数量、产品分类链接、模板资源路径结构一致。
EVIDENCE 04
运维动作同一天发生
三域名的 NS 完全是同一对；三张 SSL 证书同在 2026-10-21 签发；三个域名同在 2026-04-27 变更注册信息。

反过来，英文主站是另一套更早、内容更多的数据库：页面 ID 到 22125、WordPress 版本更旧（6.4.2）、缓存时间戳用 UTC。合理推测是先做英文主站，后来另起一套模板复制出纯纸站和中文站，三站并未做统一的多语言 / 多站点治理。

说人话 三块招牌、一个老板，但后厨有两套菜单，而且其中两套是复印的。复印本身没问题，问题在于搜索引擎会问："这三家店卖一样的东西，我该把谁排前面？"——没有 hreflang 和跨站 canonical，就没人回答这个问题。
06

性能实测

同一时刻、同一网络环境下各请求 3 次首页，取首字节时间（TTFB）。单位：秒，越短越好。

packb2b 平均
1.42 s
papercushion 平均
2.11 s
shinerpack 平均
1.55 s
站点TTFB（3 次）完整下载（3 次）原始 HTMLBrotli 后
packb2b1.29 / 1.59 / 1.38 s1.84 / 2.15 / 1.84 s680 KB≈96 KB
papercushion1.14 / 2.42 / 2.78 s1.69 / 3.43 / 3.99 s509 KB≈63 KB
shinerpack1.78 / 1.44 / 1.44 s2.07 / 1.95 / 1.49 s507 KB≈63 KB

技术事实 1–3 秒才拿到第一个字节，对 B2B 外贸站偏慢。三个主因：① HTML cf-cache-status: DYNAMIC，每次回源；② 首页原始 HTML 半兆以上、100+ 图片、数百处内联 SVG；③ 本次访问经代理出境到 Cloudflare 美西节点再回源，跨境链路本身有延迟。

说人话 相当于每次客人点单，前台都要打电话让后厨现炒。数字受检测网络影响很大，只能用来三站横向比较，不是真实买家体验的绝对值；要严谨评估，请用 PageSpeed Insights / WebPageTest 从欧美、东南亚多节点复测。
07

问题清单

高 建议尽快处理

1. 三个站都没有强制 HTTPS，且安全响应头全缺
实测 http://www.xxx.com/ 直接返回 200 网页，不跳转；无 HSTS、CSP、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy。根域 → www 是 301，但同协议。
说人话 网址栏能用不加密的 http 打开，数据有被偷看/篡改的风险；搜索引擎还可能把 http 与 https 当两个站重复收录，稀释权重。
🔧 Cloudflare → SSL/TLS → Edge Certificates：打开 Always Use HTTPS 与 HSTS（先确认站内资源全为 https）；用 Transform Rules 补安全响应头。
2. 中文站 79 处 http:// 明文图片（混合内容）
实测 shinerpack 首页里 79 个图片地址写成 http://www.shinerpack.com/wp-content/uploads/...，而纯纸站相同位置是 https——典型的"复制后没改干净"。
说人话 锁挂上了窗户还开着，浏览器可能直接拦掉这些图，首页出现空白图。
🔧 备份数据库 → 用 Better Search Replace 把 http://www.shinerpack.com 全量替换为 https://www.shinerpack.com → 清 LiteSpeed / Cloudflare 缓存。
3. SEO 地基基本没打：朴素固定链接 + 无 sitemap + 无 hreflang
实测 所有内链长成 ?page_id=19769 / ?product_cat=%e8%9c%82...；REST API 也走 index.php?rest_route=/；/sitemap.xml、/sitemap_index.xml、/wp-sitemap.xml 等全部 404；robots.txt 无 Sitemap 声明；三站 hreflang 出现次数为 0。
说人话 网址里没有产品关键词，谷歌不容易看懂页面；没站点地图等于没给搜索引擎门店清单；三个站内容又高度相似，容易被当成复制粘贴，权重互相稀释。
🔧 WP 后台 → 设置 → 固定链接 → 改「文章名」（先验证重定向）→ AIOSEO 生成 sitemap → 提交 Google Search Console → 三站之间补 hreflang 与跨站 canonical。
4. papercushion.com 约 40 天后到期，且没配邮箱
实测 RDAP：2026-12-21 到期；DNS 无 MX、无 SPF、无 TXT。Contact Form 7 若走主机默认 mail() 发信，极易进垃圾箱或直接失败。
说人话 域名一到期网站就打不开；就算没到期，客户填了询盘表单也可能收不到。
🔧 立即续费并开自动续费；补 MX + SPF/DKIM/DMARC；给 CF7 装 SMTP 插件，发一封测试询盘验证。
5. 英文主站 WordPress 6.4.2 版本偏旧且版本号公开
实测 HTML 里明写 WordPress 6.4.2、WooCommerce 8.4.3；/wp-login.php 返回 200 可访问（/wp-config.php 403、/xmlrpc.php GET 405，属正常）。
说人话 老版本 + 公开版本号 + 后台入口敞开，是自动化扫描最喜欢盯的组合。
🔧 备份后升级 WP/插件并统一三站版本；用 Cloudflare WAF 给 /wp-login.php、/wp-admin 加访问来源限制或速率限制；隐藏版本号。

中 排进迭代计划

6. 网页没进 CDN 缓存 / 首页太重
HTML DYNAMIC、静态图边缘 MISS；首页 500–680 KB、100+ 图片、数百处内联 SVG，压缩后仍要传 60–96 KB。建议：Cloudflare Cache Rules 缓存匿名访客 HTML（或上 APO for WordPress），静态资源设 1 年 immutable；首屏图片控制在 10 张内并全量 WebP/AVIF。
7. 泛域名解析 * 全开
随机子域也能解析并被 Cloudflare 接住，可能被垃圾外链、钓鱼子域、重复收录利用。建议：只保留业务需要的子域，或配合 WAF 拦未知 Host。
8. robots.txt 由 Cloudflare 托管，禁止主流 AI 爬虫
三站 robots.txt 完全一致（2676 字节），规则为 search=yes, ai-train=no, use=reference，并 Disallow GPTBot、ClaudeBot、CCBot、Google-Extended 等。说人话：ChatGPT / Claude / Perplexity 回答"环保缓冲包装供应商"时很可能引用不到这个站。若想做 AI 搜索曝光，需重新权衡（可放开 ai-input、保留 ai-train=no）。
9. 运维与定位不统一
英文站与另两站 WP 版本、缓存插件版本、时区（UTC vs UTC+8）都不一致；纯纸站 lang=zh-Hans 却是英文描述；三站邮箱分属腾讯/阿里/无。建议：统一版本与时区，按目标市场重新校准 lang 与文案。

低 清理项

演示站 startersites.io 素材残留、localhost 图片引用、中文文件名图片（建议改拼音/英文，避开 CDN 编码问题）；图片仍以 jpg/png 为主；后台登录入口可加二次保护。
08

如果要动手改，按这个顺序

  1. 续费与收单链路：续费 papercushion.com，补 MX / SPF / DKIM / DMARC，CF7 配 SMTP 并实测一封询盘。
  2. 加密拉齐：Cloudflare 开 Always Use HTTPS + HSTS + 安全头；同步修掉中文站 79 处 http 图片。
  3. 安全兜底：备份后升级英文主站 WordPress 及插件，统一三站版本；WAF 保护后台登录。
  4. SEO 地基：固定链接改文章名 → 生成 sitemap → 提交 Search Console → 三站补 hreflang 与 canonical 策略。
  5. 缓存提速：Cloudflare Cache Rules 缓存匿名 HTML（或 APO），静态资源 1 年 immutable 缓存。
  6. 页面瘦身：拆分内联 SVG / 大段 CSS，首屏图片压到 10 张内，全量 WebP/AVIF。
  7. 复测：用 PageSpeed Insights + WebPageTest 从目标市场（欧美 / 东南亚）测，再决定是否换主机或加独立 CDN。
  8. 策略与清理：按营销目标决定是否放开 AI 爬虫；清理泛解析、演示素材、中文文件名等历史残留。
09

名词小抄

名词人话名词人话
CDN / 边缘节点全球就近取货点，访客不用跨半个地球拿内容源站真正存文件和数据库的服务器，这里被藏起来了
反向代理前台代客跑腿，客户不知道后厨在哪TTFB点开网页到收到第一个字节的时间
Brotli传输前压缩，680 KB 能压到 96 KBHIT / MISS / DYNAMIC缓存命中 / 没命中 / 不缓存（每次现做）
HSTS告诉浏览器"以后只准用 https 访问"混合内容https 页面夹 http 资源，浏览器可能拦截
固定链接网址长啥样；?page_id=123 最不友好hreflang告诉谷歌这几个网址是不同语言版本、别当抄袭
Sitemap交给搜索引擎的页面清单泛解析 *任何子域都能生效，方便但易被滥用
LiteSpeed / LSCache一种 Web 服务器及其官方缓存插件QUIC.cloudLiteSpeed 官方云端 CSS/图片优化服务
10

方法与边界

做了什么
DNS（A / NS / MX / TXT / 随机子域对照）、HTTP GET/HEAD 响应头与跳转链、TLS 证书链与 ALPN、公开 RDAP 注册信息、404 页服务器签名、robots.txt、WordPress 常见公开端点、首页 HTML 静态分析（生成器标记、主题/插件路径、脚本域名、链接结构、内联资源统计）、多次 TTFB 采样。
没做什么
未登录后台、未做漏洞扫描 / 渗透 / 压力测试、未对源站发起任何主动探测，也未尝试绕过 CDN 找真实 IP。全程只读取公开可见信息。
不能确定的
源站真实 IP、机房地理位置、云服务商、Cloudflare 具体套餐（从 DYNAMIC 与通用证书看，大概率免费版或 Pro 版且未启用 APO）、PHP / MySQL 具体版本。
数据偏差
检测流量经本地代理出境，CF-RAY 落在 LAX / SEA 是出口节点，与源站位置无关；所有耗时只适合三站横向比较，不代表真实客户体验。
报告生成于 2026-11-11 · 数据来源：对上述三个站点的公开被动探测 · 结论中标注「推测」的部分请勿作为迁移或采购决策的唯一依据。