qsa.sh
- 官网
- qsa.sh
- PH
- www.producthunt.com/products/qsa-sh-quick-security-audit/lau…,2026-07-28,109 票(发布日 110)/ 日榜第 17、周榜第 80、月榜第 373 / 17 条评论库
- 一句话
- 在终端里
curl qsa.sh,从外部对自己的公网 IP 跑一次真实的端口 + 漏洞扫描(naabu + nmap/vulners + nuclei),约 30 秒流式返回。 - 团队
- Tuxxin LLC(美国佛罗里达州 Orlando,10226 Curry Ford Road),创始人 Daniel Jones,2011 年创立 Tuxxin,此前做过 NationVoice(2003–2010)、Custom Cornhole Boards(2014–2025 关停);qsa.sh 是 Tuxxin 自研安全工具矩阵中的一个,同门还有 worldip.io、whack.sh、issued.live、curlhub.sh、iNetPanel官网。
- 收费
- (官网 2026-11-02 现价):Free $0(naabu top 1,000 端口、~2,000 条 nuclei 检查、1 次/24h/IP);Full $5/mo(全 65,535 端口、异步、1 次/小时);Deep $7/次(全端口 + ~10,500 条 nuclei 全量模板、邮件报告、不限次)〔官网 qsa.sh/pricing〕。旧档:Wayback 2026-07-29 存档同价,但当时写「Full and Deep follow」(付费档尚未上线),引擎版本为 naabu 2.6.1 / nmap 7.93 / nuclei 3.3.9;现价页已改为 naabu 2.7.0 / nmap 7.993 / nuclei 3.11.1,并写明「All three tiers are live today」。变化:价格未变,付费档从「即将上线」变为已上线,引擎升级官网 + Wayback。
- 状态判断
- 活着但平——官网、News、定价页都在更新(最近一篇 2026-10-29),付费档已上线并接进 iNetPanel 1.29,但除 PH 一次发布外,收入、用户、GitHub、HN、X 全部无第三方数据。
- 证据强度
- 弱(只有 PH 库对上;indie / appstore / googleplay / macappstore / github / hackernews / chromestore / x 八个库全部没有它)
发布之后的表现
收入:indie(TrustMRR)库里没有 qsa.sh,也没有 Tuxxin 名下任何域名(worldip.io / whack.sh / issued.live 都查不到)库。官网自述「Full 和 Deep 的购买养着免费扫描」,但没有任何金额、订阅数或 MRR 披露自报。库里没有。
用户 / 下载:appstore、googleplay、macappstore、chromestore 四个库都没有它——它本身是 CLI/HTTP 服务,没有 App 或扩展,这四个库「没有」属预期库。官网没有公布扫描次数或用户数官网。库里没有。
开发者关注:github 库里没有 qsa.sh 的仓库,homepage_domain = qsa.sh 的库为 0;Tuxxin 组织名下只有 1 个库 tuxxin/MP4Streaming(52 星,2014 年建,7 天涨星 0)库。第三方评测提到「maker 说 qsa.sh 的封装层是闭源的,底层扫描器是开源的」〔chatgate.ai/post/qsa-sh〕,所以没有仓库可看 fork/star 比,不构成异常。
讨论:hackernews 库里没有 qsa.sh 的任何故事(domain=tuxxin.com 也是 0 条)库;x 本地库 core 层 560 人里没有任何一条提到 qsa.sh / tuxxin / worldip / whack.sh库。对照:Tuxxin 在 HN 上发过 worldip.io 两次(2026-06-07 45 分 30 评论;2026-07-29 Show HN 10 分 5 评论),说明团队会发 HN,但没给 qsa.sh 发过 Show HN库。PH 的 17 条评论是它唯一有记录的公开讨论库。
官网动态:站点活着且在更新。News 页 5 篇:2026-07-18 发布公告、08-09 引擎升级(nmap 7.99 / nuclei 3.11.1)、08-10 cron 监控教程、09-03「curl | bash 安全吗」、10-29 Docker UFW 绕过教程官网。2026-10-24 更新了服务条款版本官网。2026-10-26 的 iNetPanel 1.29 发布说明把 qsa.sh 作为「External Security Audit」模块接进面板,支持 Full/Deep token 与变更告警〔dev.to/tuxxin/inetpanel-129-remote-s3-backups-tuxxin-service…。没有融资、收购或出售消息。
自报 vs 实际
| 自报 | 来源 | 对照 |
|---|---|---|
| 「免费扫描保持免费,靠少数人付费支撑」 | 官网定价页 | 无任何第三方收入数据可对;indie 库无记录库 |
| PH 109 票、日榜 17 | PH 文案 | 与 PH 库一致(score 109 / launch_day_score 110 / daily_rank 17)库 |
| 「约 30 秒」「~2,000 条检查」「~10,500 模板」 | 官网 | 无第三方可验证,属产品自述自报 |
| 第三方称「launch material 未公布稳定价格」 | chatgate.ai | 与官网现价页矛盾——现价页明确 $0 / $5 / $7,该第三方页面信息滞后官网 |
为什么成了 / 没成
它没「成」成独立生意,但也没死,因为它本来就不是独立生意。三个证据:一,PH 109 票、日榜 17,是「featured 但没进前 10」的典型量级,17 条评论说明有人讨论但没形成传播;二,HN 和 X 本地库零提及,而同一团队给 worldip.io 发过两次 HN——说明不是被压制,是没往开发者社区推;三,定价 $5/mo 和 $7/次,即使按乐观的几百个付费用户算也只有几千美元量级,而它被写进 iNetPanel 1.29 的「Tuxxin Services」模块,和 worldip.io、issued.live、webshot.site、whack.sh 并列——这是 Tuxxin 用免费工具给 IT 外包主业导流的漏斗,不是要单独跑出 MRR 的产品。免费档给 1 次/24h、付费档才给全端口,这个切法合理,但「只能扫自己连出去的 IP」这条硬约束把市场压得很窄:服务器无公网 IPv4 的用户、CGNAT/移动网络用户、IPv6 用户全被拒之门外。
对想跟的人
别把它当「独立安全 SaaS」跟。它的定价上限是 $5/mo,而 indie 库里同类里唯一有真实流水的 Vibe App Scanner 是 $817/月、33 个订阅库——也就是说这个方向的天花板在几百到一千美元 MRR 量级,靠订阅很难覆盖扫描机队的带宽和算力。真正的位置在「免费工具 + 高客单服务」:Tuxxin 用 qsa.sh 这类免费钩子卖年框 IT 外包。最大的坑是合规与滥用——qsa.sh 花了整页 Terms 讲授权、CGNAT 拒绝、opt-out 名单和「operator 自己也在发扫描包」的责任,这是这类产品绕不开的成本;想跟的人如果只做技术不做这套护栏,第一个 abuse 投诉就会把域名打掉。
没查到的
- indie(TrustMRR):没有 qsa.sh,也没有 Tuxxin 任何产品——所以收入、MRR、订阅数、是否挂牌出售全部无法回答。
- appstore / googleplay / macappstore / chromestore:没有它(产品形态本身不在这些渠道)。
- github:没有 qsa.sh 仓库,也没有 Tuxxin 的活跃仓库,star 走势、fork/star 比、提交活跃度都答不了。
- hackernews / x 本地库:零提及,无法判断社区反应。
- 官网未公布:扫描次数、用户数、付费转化、融资情况;Wayback 只有 2026-07-29 一个快照,无法做更细的定价/文案时间线。
- 未查到 Companies House 类登记(美国 LLC,佛州无公开财务),未查到创始人 X 账号的公开发帖记录。
档案由 agent 建(deepseek/deepseek-v4.1-flash,48 步,2026-11-01T15:29);〔库〕= 我们自己的库,〔官网〕= 当天抓的网页。