什么值得做
网页端 · 11-6 写
Nerq(nerq.ai) · nerq.ai

一个人、750 万个「安全吗」页面:nerq.ai 的排名翻了三倍,真人却没怎么来

它是什么 给 750 万个软件包、App、插件、AI 模型打 0–100 信任分,并自动生成几百万条「X 安全吗 / X 对比」页面的网站,一个人做的。

为什么火了 几百万个页面加上专门喂给 AI 的 llms.txt,吸来大量爬虫;再加上 500 多条 GitHub issue 推徽章换外链,推高了排名;真人用户几乎看不到。

C你可以怎么跟 别照抄全网信任分;学它把数据批量变页面、喂给 AI 引用的做法,用在一个你有独家数据的窄领域,一开始就放好变现位,不要群发 issue。

C 级:打法可以学,产品不值得跟:排名是机器流量堆起来的,没有真人、没有收入,每条线上都有 Snyk、Norton、Glama 这类更强的对手,GitHub 群发徽章也已经被维护者当成 spam。 还没什么人知道

全球排名 12 万 · 90 天前 7.3 万

瑞典一个叫 Anders 的独立开发者,给 750 万个软件包、App、插件、AI 模型打 0–100 的「信任分」,再自动生成几百万条「X 安全吗」「最安全的 X」「X 和 Y 对比」页面。它的全球排名一个月里从 37 万名爬回 12 万名。但细看会发现,这次是跌下去以后的反弹,撑起排名的主要是爬虫和外链,不是读者。这套打法值得拆开看,这个产品本身不值得跟。

五个月后才来的一句「不需要」

2026 年 10 月 22 日,微软 NuGet 仓库的维护者在一条五个月前的 issue 下面回了一句:「谢谢,我们目前不打算把这个放进 README。」然后关掉了。那条 issue 的标题是「NuGet has a Nerq Trust Score of 69.8/100 — verified badge available」,5 月 12 日发的。

同一周,这种回复还有好几条。10 月 19 日,MCP 官方 servers 仓库清理积压时关掉了一条同类 issue,理由是「这是推广信任分徽章,不是对仓库的修改请求」;10 月 23 日,OpenAI 的 Python SDK 仓库回了「我们就不加这个徽章了」。Google 的 adk-js 仓库更有意思,维护者显然没看内容,回的是「请试试最新版 SDK,看问题还在不在」。

这些 issue 都来自同一个 GitHub 账号:2026 年 2 月注册,0 个关注者,3 月 10 日到 6 月 8 日之间发了 414 条,标题带「Nerq Trust Score」的一共 500 多条。内容是同一个模板:「你的项目在 Nerq 拿到了 84.0 分(A-)。在 README 里加一行就能挂上徽章,徽章会自动更新。」第一条发给了 SWE-agent,说它是「20.4 万个 AI agent 里最可信的第一名」。后面发过的有 RooCode、ChatDev、智谱的 GLM-5、微软 qlib。

它是什么

nerq.ai 首页的标题是「Is It Safe? Trust Scores for All Software」。它声称收了 26 个来源、750 万个对象:npm、PyPI、Rust、VS Code 插件、Chrome 插件、WordPress 插件、安卓和 iOS 应用、Steam 游戏、HuggingFace 模型、MCP server,还有 VPN、杀毒软件、主机、加密交易所这类高佣金品类。分数是拿公开信号加权算出来的,比如 star 数、最近更新时间、许可证、已知漏洞。每个对象都配了一组页面:/safe/某某、/is-某某-safe、/compare/a-vs-b、/alternatives/某某,做成 22 种语言。

开发者那头有一个免注册的 API(/v1/preflight?target=express,号称 50 毫秒内返回分数),还有 MCP 网关「一个 server 给你的 agent 接 25,000 个工具」、Python SDK 和 GitHub Action。

做它的人基本可以确定只有一个:dev.to 账号署名 Anders,npm 包维护者是同一个人,robots.txt 里留着一行瑞典语注释「Anders beslut 2026-10-20」(Anders 的决定)。他同时还做了 zarq.ai(给 AI agent 用的加密货币风险评级)。没查到融资。

它一开始的定位是「AI agent 的信任层」,/about 页现在还写着 20.4 万个 agent、2.5 万个 MCP server,以及欧盟 AI 法案合规。9 月前后首页转成了面向普通人的「这个软件安全吗」,主推 VPN、杀毒和「TikTok 安全吗」这类词。

排名为什么先跌后涨

日期全球排名(Tranco)
7-3073,031
8-27143,346
9-24320,153
10-04376,158(谷底)
10-29139,365
11-06120,125

所谓「30 天涨了 3 倍」,是从 10 月初的谷底算起的。往前看 90 天,它现在的位置还不如 7 月底。

时间线对得上(推断,没法证明因果):3 到 6 月是推广期,GitHub issue 一条接一条地发,dev.to 每周发一篇生态报告,7 月排名冲到 7.3 万名。6 月上旬 issue 停发,dev.to 6 月 15 日停更,8、9 月排名一路往下掉。10 月初开始回升,同一时期站点转成消费向的「安全吗」、加了 22 种语言,10 月 20 日又改了 robots.txt:放行 GPTBot 这类 AI 爬虫,屏蔽 SEO 工具的爬虫。

来的是人还是机器

几乎都是机器。三个证据:

  • 真人浏览器数据里没有它。 Chrome 的真实用户统计(CrUX)从 5 月到现在,全球榜和 21 个国家榜上都找不到 nerq.ai,说明真实访问量进不了全球前 100 万。
  • DNS 查询量却不低。 Cloudflare 的 1.1.1.1 排名里,11 月 2 日那一周它在「前 5 万」档。解析量这么高、真人这么少,最合理的解释是爬虫、AI 抓取和 API 调用。
  • 工具没人装。 npm 上的 MCP 网关近 30 天下载 18 次,PyPI 的 SDK 一个月 17 次。两次 Show HN(3 月 12 日、3 月 14 日)都只有 1 分。X 上近 240 天搜不到一条提到它的帖子。

还有一个推断没有核实:Tranco 排名里有一项来源按外链计分,500 多条 issue 和推出去的徽章会给它加分。

在搜索引擎里,它只吃得到极长尾的词。Brave 搜「is temu safe」,前 20 条全是 Avira、Norton、security.org、NordVPN 这些站,没有 nerq。能搜到它的是「Is Nrc1 Safe?」这种几乎没人搜的包名。11 月 7 日实测,API、sitemap 和几个栏目页都返回 500 或 404,只有被 Cloudflare 缓存的页面打得开。

钱从哪来

目前看不到。站上写着「不挂联盟链接」,MCP 网关写着免费档每天 100 次,付费档没找到。「最安全的 VPN」「最安全的加密交易所」这些页面明显是冲着高佣金词去的(推断),但联盟链接现在还没挂上。

谁在跟它抢

每个方向上都有比它强的对手:

方向对手排名(11-05)差别
开发者依赖安全Snyk、Socket.dev、Google deps.dev1.2 万 / 3.4 万 / 3.1 万有自建漏洞库或行为分析,有企业客户
开源评分OpenSSF Scorecard68.7 万开源标准;Nerq 相当于给它这类信号套了 SEO 外壳
MCP 目录Glama、Smithery、mcp.so6.8 万 / 14.2 万 / 18.9 万开发者真在用;Nerq 的网关几乎没人装
普通人「安全吗」ScamAdviser、security.org、Norton 博客2.1 万到大站品牌加人工内容,占着头部词

同时做「全品类信任分 + 程序化页面 + 给 agent 的 API」的,目前只看到它一家。但它没有在任何一条线上赢。

能学的和不能学的

能学: 把一份数据批量变成页面,再用 llms.txt 和结构化数据喂给 AI。它的 llms.txt 里专门有一节「When to Cite Nerq」,直接告诉 ChatGPT、Perplexity 什么时候该引用它。一个人几个月就能把一个新域名推进全球前 10 万。

要想清楚: 这种排名是机器堆出来的。它不代表有读者,也不代表有收入。

别学: 用 GitHub issue 群发「你得了 X 分,来挂徽章」。维护者五个月后集中清理的样子你已经看到了:不加、关闭、按「自动化贡献」条款拒绝。越来越多的仓库在 CONTRIBUTING 里明确禁止这种做法,还会连带你的账号和域名一起被记住。

如果是你

一句判断: 别照着做「全网信任分」,把它当成一份程序化 SEO 加 GEO 的公开教材来读。

适合谁: 手里已经有一份别人没有的数据(某个垂直领域的评测、价格、兼容性、合规信息),想低成本把它变成搜索和 AI 回答里的入口的人。

不适合谁: 想靠「信任分」本身赚钱或攒口碑的人。分数是公开信号加权出来的,用户没理由信你胜过 Norton 或 Snyk。

怎么做: 选一个窄领域,比如「某类 Chrome 插件的隐私权限」或「某个国家的 VPN 能不能用」。分数背后要有你自己测出来的东西,页面数量从几千做起,不要上来就几百万。一开始就把变现位放好(联盟链接、付费 API、给厂商的认证报告),别等流量来了再想。

怎么获客: 程序化页面加 llms.txt 和结构化数据去拿 AI 引用;被评对象那一侧,用「可以申领、可以申诉的主页」吸引对方自己找上门,不要主动去发 issue。

什么时候之前: AI 搜索引用规则还松的这一两年。等各家开始给内容农场降权,同样的打法效果会差很多(推断)。

什么情况说明看错了: 如果 nerq.ai 在接下来两三个月里出现在 CrUX 榜上,或者在「is X safe」这类头部词里排进前十,说明这套打法确实能带来真人,值得重新评估。如果排名回到 7 月高位以后又掉下去,就说明它只是一阵机器流量。

网站 ↗

研究底稿:竞品表、获客证据、完整研究报告
竞品
名字在哪上线规模它和这家不同在哪
Socket.dev网页2022Tranco 34,290真做依赖行为分析,企业付费;Nerq 只把公开信号加权成分数做成 SEO 页
Snyk(Snyk Advisor)大厂功能2015Tranco 12,133漏洞库是自建的,有企业客户;Nerq 免费、覆盖广但浅
deps.dev(Google Open Source Insights)大厂功能2021Tranco 31,372Google 出品、自带 Scorecard;Nerq 是同类信号的消费化「安全吗」页面
OpenSSF Scorecard开源2020scorecard.dev Tranco 687,210开源标准评分;Nerq 等于在它这类信号上加 SEO 和 API 外壳
Glama网页2024Tranco 68,054MCP 目录,带安全 / 质量分级,真有开发者用;Nerq 的 MCP 网关几乎没人装
Smithery / mcp.so / MCP Market网页2024–2025Tranco 142,275 / 188,541 / 195,977找 MCP 的主要入口;Nerq 想拿信任分切进来,没切动
ScamAdviser网页2012 前后Tranco 21,456消费向「网站可信吗」老牌站;Nerq 的消费向转型在学它
security.org / Avira / Norton / NordVPN 博客网页多年大站,霸占「is X safe」头部词人工内容加品牌权威;Nerq 只能吃极长尾
ClawSecure / Tumeryk AI Trust Score网页2025–2026小面向企业的 AI/agent 安全评分;Nerq 免费、主打给 agent 调用
用户从哪来
  • 查实 GitHub issue 群发「你的项目获得 Nerq 信任分,来挂徽章」:账号 kbanilsson-pixel 从 2026-03-10 到 06-08 发了 414 个 issue(标题含 Nerq Trust Score 的共 523 个),目标有 SWE-agent、google/adk-js、RooCode、GLM-5 等;117 个已关,维护者多以 spam 或不加第三方徽章为由拒绝
  • 查实 程序化 SEO / GEO:几百万条 /safe、/is-x-safe、/best、/compare 页面,22 种语言;llms.txt 写明「When to Cite Nerq」;robots 放行 AI 爬虫;Brave 收录大量长尾页,「is temu safe」这类头部词前 20 没有它
  • 查实 dev.to 内容:zarq-ai 账号在 2026-03-08 到 06-15 发了 38 篇周报和教程,反应数基本为 0
  • 查实 Show HN:2026-03-12、03-14 两次 Show HN 都是 1 分
  • 推断 徽章外链推高 Majestic / Tranco:推测:issue 和徽章制造的外链会进 Tranco 的 Majestic 分量;未核实
  • 推断 AI 爬虫 / API 机器流量:CrUX 没上榜,但 Cloudflare Radar(DNS)在前 5 万档,机器解析量远大于真人

nerq.ai 研究报告

召回原因:Tranco 30 天 367,539 → 121,757(×3.0)。日期 2026-11-07。

一句话结论

Nerq 是瑞典独立开发者 Anders 一个人做的「全网软件信任分」站:把 26 个注册源里的 750 万个实体打成 0–100 分,铺成几百万条「X 安全吗 / 最安全的 X / X 对比」程序化页面,再加一个免鉴权 API 和一个 MCP 网关。这次的 ×3 是反弹,不是新起量:7 月底它在 7.3 万名,到 10 月初掉到 37.6 万名,现在回到 12.2 万名,还没回到 90 天前的位置(x90 = 0.6)。它一直不在 CrUX 里,开发者工具也几乎没人装,所以排名主要是 DNS、爬虫和外链撑起来的,看不到多少真人。增长手段可以拆清楚,但说不上「跑出来」。

1. 它是什么

  • 官网 nerq.ai 标题「Nerq — Is It Safe? Trust Scores for All Software」。口径是「7.5M+ 实体、26 个注册源、22 种语言、不挂联盟链接、每天更新」。覆盖 npm、PyPI、Rust crates、NuGet、Packagist、VS Code、Chrome、Firefox、WordPress 插件、Android/iOS 应用、Steam 游戏、HuggingFace 模型和数据集、MCP server,外加 VPN、杀毒、密码管理器、主机、加密交易所这类高佣金消费品类(来源:官网首页、nerq.ai/llms.txt,2026-11-07 用 Jina 读取)。
  • 有这几种形态:
    • /safe/{名}、/is-{名}-safe、/best/safest-{品类}、/compare/{a}-vs-{b}、/alternatives/{名}、/model/{名}、/dataset/{名},都是程序化页面;
    • 免鉴权 API GET /v1/preflight?target= 和 /v1/trending,每个实体另有 5 个 JSON-LD 端点;
    • MCP 网关 npx nerq-gateway(nerq.ai/gateway,「一个 MCP server 给 agent 25,000 个工具」);
    • 信任徽章(/badges)、PyPI SDK nerq、GitHub Action trust-gate。
  • 早期定位是「AI agent 的信任层」(/about 现在还写着 5M+ AI 资产、204K agents、25K MCP server,并按 EU AI Act 做合规映射)。之后转成「所有软件安全吗」的消费向定位,首页主推 VPN、杀毒、TikTok 安全吗这类词。
  • 团队:dev.to 账号 zarq-ai,署名「Anders」,2026-03-08 注册;npm 包 maintainer 是 zarq(邮箱 [email protected]);robots.txt 里有瑞典语注释「Anders beslut 2026-10-20」(Anders 的决定)。同一个人还做了 zarq.ai(给 AI agent 的加密货币风险评级,「穆迪式」)和 lightf1ow.com(异常经历登记站)。按这些看是单人或极小团队,没查到融资。

2. 流量:到底有多少人在看

日期Tranco 名次
2026-07-3073,031
2026-08-0672,613
2026-08-27143,346
2026-09-24320,153
2026-10-04376,158(谷底)
2026-10-15272,190
2026-10-29139,365
2026-11-05121,757
2026-11-06120,125(tranco-list.eu API)

(来源:traffic 库 rank_day;Tranco 是 30 天滚动平均)

  • CrUX:从 2026-05 起,全球和 21 个国家的任何一个月都没有 nerq.ai(traffic 库 crux_domain 查不到这个域名)。也就是说,真实 Chrome 用户进不了全球前 100 万。
  • Cloudflare Radar(基于 1.1.1.1 的 DNS 查询):2026-11-02 那周 nerq.ai 在「前 5 万」档(Radar API)。zarq.ai 在「>20 万」档。DNS 档远好于 CrUX(没上榜),说明解析量主要来自机器:爬虫、AI 抓取、API 调用。
  • Tranco 的五个数据源里有 Majestic,而 Majestic 按外链计分。Nerq 在 GitHub 上发了 500 多个 issue,还推信任徽章,这些外链会推高 Majestic 分。我推测这一项对排名有贡献,但没有核实。
  • 开发者工具几乎没人用:npm nerq-gateway 近 30 天下载 18 次(api.npmjs.org,2026-10-07~11-05);PyPI nerq 近一个月 17 次(pypistats)。
  • 站点稳定性差:2026-11-07 实测 /v1/preflight、/v1/trending、/sitemap-index.xml、/insights、/oracle 都返回 500 或 404 或 upstream reset,只有被 Cloudflare 缓存的页面能打开。
  • 网页和 App:没有 App,也没有 Chrome 扩展(chromestore 库里查不到;dev.to 上写过「做了个浏览器扩展」,但没找到上架记录)。流量全在网页和 API 上。

为什么先跌后涨(推测,未核实)

  • 7 月高位很可能来自上半年的大规模推广:3–6 月在 GitHub 上发 issue、在 dev.to 发周报,外加几百万页面被爬虫抓取。6 月 15 日以后 dev.to 停更,GitHub issue 6 月 8 日停发,8–9 月排名随之下滑。
  • 10 月 6 日起开始反弹,时间上和这几件事对得上:站点转向消费向的「Is it safe」(首页、/guides 的 Brave 日期是 9 月 9 日)、22 种语言的页面、robots.txt 在 10 月 20 日专门调整了 SEO 爬虫和 AI 爬虫的规则。llms.txt 里直接写了「When to Cite Nerq」,教 ChatGPT、Perplexity 这类 AI 引用它,是明确的 GEO 打法。
  • 但它在 Google/Brave 的头部词里看不到:Brave 搜「is temu safe」前 20 条没有 nerq,全是 Avira、Norton、security.org、NordVPN 这类站。能搜到的都是极长尾的页面,比如「Is Nrc1 Safe?」「Is Sbpf Common Safe?」。

3. 竞品

竞品形态规模(Tranco 2026-11-05,traffic 库)和 Nerq 的区别
Socket.dev网页 + GitHub App,供应链安全34,290真做依赖行为分析,企业付费;Nerq 只做公开信号的加权打分
Snyk(含 Snyk Advisor 包健康分)网页 / 大厂12,133漏洞库是自建的,企业客户多;Nerq 免费、覆盖面广但浅
deps.dev(Google Open Source Insights)大厂功能31,372Google 出品,自带 OpenSSF Scorecard;Nerq 把同类信号做成「安全吗」消费页
OpenSSF Scorecard(scorecard.dev)开源687,210开源标准评分;Nerq 本质上是它的「评分 + SEO 页」版
GlamaMCP 目录,带安全 / 质量分级68,054MCP 目录里的龙头之一,真有开发者用;Nerq 的 MCP 网关下载量接近零
Smithery / mcp.so / MCP MarketMCP 注册表142,275 / 188,541 / 195,977都是「找 MCP」的入口;Nerq 想用「信任分」切进来,没切动
ScamAdviser网页「网站是不是骗局」21,456消费向「安全吗」老牌站;Nerq 的消费向页面是在学它
security.org、Avira、Norton、NordVPN 博客等内容站 / 厂商博客大站霸占「is X safe」头部词;Nerq 打不进头部
ClawSecure、Tumeryk AI Trust Score、Credo AIAI / agent 安全评分小面向企业治理;Nerq 免费、面向 agent 调用

没有完全一样的竞品:同时做「全品类信任分 + 程序化 SEO + 给 agent 的 API/MCP」的只看到 Nerq 一家。但每条腿上都有更强的对手。

4. 增长手段(证据)

  1. GitHub issue 群发,「你的项目获得了 Nerq 信任分,来挂徽章」(已确认)。账号 kbanilsson-pixel(2026-02-07 注册,0 粉丝)从 2026-03-10 到 2026-06-08 发了 414 个 issue(GitHub 搜索 author:kbanilsson-pixel);按标题「Nerq Trust Score」搜有 523 个。目标包括 SWE-agent、microsoft/qlib、google/adk-js、RooCode、Kilo Code、ChatDev、GLM-5 这类热门 AI 仓库。按月看,3 月 19 个、5 月 212 个。其中 117 个已关,297 个还开着。维护者的回复多是拒绝:「不加第三方徽章」「不是工作任务,建议关闭」「按 CONTRIBUTING 的自动化贡献条款关闭」,有的徽章已显示「retired」。账号下还有 4 个 fork 来的 awesome-mcp / awesome-langchain 列表,应该是用来提 PR 把自己加进去的。
  2. 程序化 SEO / GEO(已确认):几百万条 /safe、/is-x-safe、/best、/compare、/model、/dataset 页面,22 种语言;llms.txt 教 AI 什么时候引用 Nerq;robots 放行 GPTBot 等 AI 爬虫,屏蔽 DataForSeo、MJ12、DotBot 等 SEO 爬虫。Brave 收录了大量长尾页面,头部词没有排名。
  3. dev.to 内容(已确认,效果差):账号 zarq-ai 在 2026-03-08 到 06-15 之间发了 38 篇(季度报告、每周生态报告、CI 集成教程),公开反应数基本是 0。
  4. Show HN(已确认,无效):2026-03-12「Nerq Trust Protocol」1 分;2026-03-14「One MCP server … 25,000 tools」1 分、1 条评论;同期 zarq.ai 的 Show HN 也是 1 分(HN API)。
  5. 第三方 MCP 目录收录:mcpbundles.com 有「Nerq Trust Engine MCP Server」页面(Jina 搜索结果)。
  6. X / Reddit / 媒体 / 广告:x-radar 近 240 天搜「nerq」0 条;没找到 Reddit 讨论和媒体报道;广告库里没有记录。

5. 为什么排名能起来(按证据强弱排)

  • 页面量巨大,而且对 AI 爬虫友好(几百万页、22 语言、llms.txt、JSON-LD 端点),爬虫和 AI 抓取带来大量 DNS 查询和请求,所以 Radar 能进前 5 万档,CrUX 却没上榜。
  • 500 多个 GitHub issue 加徽章外链,给 Majestic 这类外链型来源加分(推测)。
  • 10 月重新转向消费向的「安全吗」页面,同时做多语言和 robots 调整,时间上和反弹对得上(相关,不能证明因果)。
  • 没有看到真人用户进来的证据:CrUX 没上榜、npm/PyPI 下载两位数、HN/X/dev.to 零反应。

6. 差异化

它的差异化是广度和姿态:同一套 0–100 打分覆盖从 npm 包到 VPN、TikTok、MCP server 的所有东西,打着「独立、不挂联盟链接」的旗号,API 免鉴权,专门喂给 AI agent 和 LLM 引用。这让它比 Socket、Snyk 更容易铺页面,但每个分数都很浅(权重是 stars、更新时间、license、CVE 这类公开信号),用户没理由信它胜过 Norton/security.org(消费端)或 Socket/Snyk(开发者端)。排名靠的是「页面数 × 爬虫 × 外链」的打法,差异化本身不是原因。

7. 可见度和跟风

  • 可见度:还没什么人知道。没有收入公开,没有媒体或大号报道,HN/X 零讨论。少数被 issue 打扰的开源维护者知道它,印象大多是负面的(spam)。
  • 跟风者:无。不过「AI 安全评分 / MCP 安全评级」这条线上有 ClawSecure、Glama 安全分级等平行的玩家。

8. 能借鉴的

  • 「数据资产 → 程序化页面 → llms.txt/JSON-LD 喂给 AI」这套 GEO 打法,单人也能在几个月内把一个新域名推进 Tranco 前 10 万。前提是接受这类排名主要是机器流量。
  • 给被评对象发「你得了 X 分,来挂徽章」能低成本换外链,但在 GitHub 上很快会被当成 spam,很多仓库已在 CONTRIBUTING 里明文拒绝自动化贡献。
  • 反面教训:站点不稳定(大量 500),开发者工具没人用,说明光堆页面换不来留存和变现。

9. 不确定的

  • 怎么变现:页面声称不挂联盟链接,没看到定价页(网关写着免费档每天 100 次,付费档未见)。
  • 排名里真人、爬虫、API 各占多少,没有直接数据;Majestic 外链贡献多少也没核实。
  • 7 月高位之前的历史(我们的库从 2026-07-30 开始)。
  • 10 月反弹的具体触发点:站点改版、Google 收录变化还是 AI 爬虫增量,没法区分。

出处

文章由 AI 根据公开数据和我们每天采集的数据写成,数字带出处,推断已标明