网页字体的授权条款就写在文件里，88个站没人读过

摘要：131个海外品牌电商站里，127个取到了首页，115个自己托管了字体，1439份字体文件能被解析。857份（分布在88个站）用的是非开源字体，其中98.0%原样保留着版权行、81.4%保留着设计师姓名、46.3%保留着完整的许可条款正文。有5个站的条款里明写着不得存放在公开可访问的服务器上——而这句话，正是我从公开可访问的服务器上下载下来的。

先说一个具体的。avocadogreenmattress是个卖乳胶床垫的美国站，客单价四位数。它首页用的一款标题字叫Majesti Banner，文件挂在Shopify的CDN上，谁都能下。我把这份woff2下下来，读它内部的名称表，里面有一段全大写的英文，一字不差是这样的：

THE LOST TYPE CO-OP　LICENSING AGREEMENT　YOU MAY: 1) USE THIS FONT IN PERSONAL DESIGN　YOU MAY NOT: 1) USE THIS FONT IN COMMERCIAL DESIGN WITHOUT CONTACTING THE DESIGNER, JOE PRINCE, AT joe.admix@gmail.com 2) RE-DISTRIBUTE THIS FONT BY ANY MEANS, FOR FREE, OR FOR A FEE 3) ALTER THIS FONT FOR RE-DISTRIBUTION

翻成人话：这套字只许用在个人作品里；要商用，先给设计师Joe Prince写封邮件；不许再分发，免费的不行收费的也不行；不许改了再发。

同一个站的同一个目录下，还躺着一份叫SFNSDisplay的文件。那是苹果的San Francisco，许可条款写着只能用于制作在iOS或macOS上运行的软件的界面样稿。它现在正给一个床垫站的网页排字。

我不知道这两件事背后各自有什么故事，也许早就补了授权，也许设计师根本不在意。我关心的是另一件事：这两段话在那两个文件里躺了很久，被无数次下载，从没被任何一道工序读过。

网页字体文件里到底存着谁的名字？

字体不是图片。一份woff2、ttf或者otf，内部是一组带名字的数据表，字形轮廓只是其中一张。另外有一张表叫name，专门存文本，OpenType规范给它分配了固定的编号位。

常用的这几个：0号是版权行，1号家族名，4号完整名称，5号版本串，7号商标声明，8号制造商，9号设计师，11号厂商网址，12号设计师网址，13号是许可条款的正文，14号是许可条款的网址。微软的OpenType name表规范逐条给出了这些编号的语义。

但这些字段是给人看的，不是给网页读者看的。它们的设计场景是桌面：你在Word的字体下拉框里看到的名字来自1号和4号，你在系统的字体预览里点开属性看到的版权和设计师来自0号和9号。浏览器渲染网页时一个都不看——它只要字形轮廓和度量数据。

于是就出现了一个空档。子集化工具的默认行为是保留name表，因为它体积很小，删掉省不下几KB；而删它又有风险，某些渲染路径要靠家族名做匹配。这跟商品图里的版权字段走完交付链一个字都没剩刚好相反：图片那一路上每道工序都在压、在剥，字体这一路上没有任何一道工序想动它。

怎么把这些字读出来？

方法直白。取首页HTML，收集所有外链样式表，在样式表和内联style里正则抓@font-face块，从块里的src: url(...)取出字体地址，按站去重后逐个下载，用Python的fontTools解析。同时读OS/2表的fsType与achVendID、head表的日期与版本号、cmap里的字形数。

131个站里127个首页返回200。这127个站声明了1467个字体地址，实际取回并解析成功1439份，取回失败28份，解析失败0份。有12个站一份自托管字体都没有——aliexpress、temu、zalando、pandora这一类，用的是系统字体栈或者把字体注入在运行时生成的样式里，首页静态HTML里看不到。

这里得说清一个口径。我只测每站首页、每站最多22份字体文件。像swarovski声明了48个字体地址、eufy声明了31个，我只取了前22个。所以下面所有的数都是下限，不是全貌。这一点和按字节预算测页面体积时的取样逻辑一样：先保证每个站的口径一致，再谈总量。分母没交代清楚的数据，算得再准也没法用。

88个站在分发非开源字体，那些条款保留了多少？

1439份可解析的文件里，73份是图标字体（Font Awesome、fontello、Okendo的挂件图标那一类，28个站），排字用的字体1366份。按许可性质分：509份带开源许可指纹（SIL开放字体许可、Apache 2.0这些），分布在55个站；857份不带，分布在88个站。

115个有自托管字体的站里，只用开源字体的26个，用了非开源字体的88个，占76.5%。两类混着用的29个——这很常见，正文用买来的品牌字，数字或者某个语言的补充字形用开源的。这种混搭在做多语种排版的站上几乎是标配，因为一套商业字很少能覆盖到所有目标市场的书写系统。

非开源那857份文件里，各字段的保留率是这样：

版权行的站覆盖率是100%——88个用了非开源字体的站，一个不落，全都保留着。这个数字比我预期的高得多。

52个站的字体里有完整的条款正文，我把这397份文件里的条款文本去重，得到47种不同的写法。有些是标准EULA的长篇，有些短得像便条。awaytravel、harrys和rapha.cc的字体里只有一句：Not to be used for anything other than web font use!——不得用于网页字体以外的任何用途，末尾还带个感叹号。

那句最要命的话，出现在5个站上

on.com、ouraring.com、rab.equipment、ritual.com、stanley1913.com这5个站的字体里，写着同一段话。来源是两家瑞士与德国的字体厂——Lineto和Dinamo。Lineto对字体授权的官方说明把桌面、网页、应用三种用途分得很细，而下面这段话是所有用途共用的总则：

Lawful use of the fonts or the data contained within the font files excludes modifying, reassembling, renaming, storing on publicly available servers, redistributing and selling.

合法使用不包括：修改、重组、重命名、存放在公开可访问的服务器上、再分发、销售。

我把这句话读出来的路径是：打开首页，读CSS，拿到字体地址，直接GET，200，解析。全程没有任何凭据，没有登录，没有referer检查。这份禁止存放在公开服务器上的文件，就存放在一台公开服务器上，而且必须存放在那儿——不然浏览器怎么下它。

这不是抓到谁的把柄。厂商自己也清楚网页字体就是这么工作的，Lineto和Dinamo都单独卖网页授权，条款那一段说的是别的场景。真正值得说的是：一段针对完全不同场景写的法律文本，被原样搬进了一个必然公开的文件，一路搬到了生产环境，中间那么多人，包括买字体的设计师、接手的前端、上线的运维，没有一个人看过它。

fsType的那几个位，厂商到底说了什么？

name表是文字，OS/2表里还有一个数字字段叫fsType，两个字节，用位表示这份字体的嵌入授权。这个字段的好处是机器可读，坏处是几乎没人知道它存在。

微软的OS/2表规范把它定义为Indicates font embedding licensing rights for the font，取值只有0、2、4、8四种合法值：

• 0可安装嵌入。嵌进文档后可以在别人机器上永久安装，对方获得与原购买者相同的权利与义务。
• 2受限授权嵌入。规范原话是the font must not be modified, embedded or exchanged in any manner without first obtaining explicit permission of the legal owner——未经合法所有者明确许可，不得以任何方式修改、嵌入或交换。
• 4仅预览与打印。可以临时载入到别人机器上用于查看或打印，但含这类字体的文档必须以只读方式打开。
• 8可编辑嵌入。可以临时载入，也可以编辑并保存。

1362份带这个字段的排字字体里，793份是0（58.2%，83个站），233份是4（17.1%，45个站），314份是8（23.1%，40个站），6份是2（0.4%，只有1个站）。至少有一份字体带着非零限制位的站，共73个，占115个有自托管字体的站的63.5%。

这里必须把话说准，不然就成了危言耸听。fsType管的是把字体嵌进文档这条路——你把一份PDF发给客户，字体跟着PDF走，那是嵌入。网页上的@font-face自托管走的不是这条路，它由你和厂商之间的网页授权合同管，fsType在CSS层面没有任何强制力，浏览器也不看它。

那为什么还值得测？因为它是厂商用机器可读的方式，在文件里留下的意图刻度。规范的注释段写得很清楚：Embedding licensing rights are granted by the vendor of the font，而且要求应用程序不得修改这个字段。当一份标着4的字体被放在CDN上、被任何人无条件下载并可以拿去嵌进任何文档时，你手上就有了一个可以拿去问法务的具体事实，而不是一句大概吧。

一个1990年代的老错误，活到了2026年

dollarshaveclub有16份字体的fsType是1。规范里第0位是permanently reserved and must be zero——永久保留位，必须为零。规范甚至专门写了一段解释这个值为什么会出现：苹果早期的TrueType参考手册只定义了第1位，一些早期字体实现错误地使用了值1，造成互操作性问题，所以最终规范把第0位永久保留并弃用。

换句话说，我在一个2026年的DTC剃须刀品牌的首页上，测到了一个规范特意写段落警告过的、三十年前的实现错误。这跟换个平台只是换一批老代码是同一件事的两种形态：老东西不会自己消失，它只是换了个地方待着。

字体文件自报的年龄，为什么中位数是7.5年？

head表里有两个时间戳，创建和修改。它们不是HTTP的Last-Modified，也不是文件系统时间，是写在文件内容里的，跟着文件走，改文件名、换服务器、过CDN都不变。

格式是自1904年1月1日起的秒数。我第一版脚本按日期串去解析，结果一个都没匹配上，年份分布整个是空的——这是本批第一把坏掉的尺子，详见后文。修好之后：

1362份排字字体里，1350份的创建时间落在真实区间。中位数年龄7.5年，超过10年的399份（29.6%），超过15年的211份（15.6%）。按站看更直观：114个站里，每站最老的那份字体，中位数是9.4年；有50个站的字体柜里至少有一份超过10年。

最老的几份值得单独说：

• buckmason.com：一份叫Pica的字体，创建于1992年3月13日，版权行写着Copyright © 1986-1992 SWFTE International。SWFTE是1990年代的字体公司，早就不在了。这份文件34.5岁。
• framebridge、fromourplace、ritual三个站各自带着Bitstream的Cheltenham与Dutch801，创建于1998年11月到12月，版权行是Copyright 1990-2003 Bitstream Inc.。三个互不相干的DTC品牌，用着同一批二十七年前的文件。
• reebok.com的Avenir LT Std创建于2002年6月，uniqlo.com的UniqloBold创建于2007年9月——后者是森泽给优衣库做的定制字，快十九岁了。

另一头，最新的是nomadgoods的Gotham，2026年4月23日创建，四个多月大。

有12份文件的日期是1970年1月1日

thefarmersdog和thirdlove各有几份Klim的字体，创建时间读出来是1970-01-01。原始值是2082844800，恰好是1904年1月1日到1970年1月1日的秒数。

这不是巧合，是有人把Unix纪元的0直接写进了一个以1904为纪元的字段。可能是生成网页字体的流水线故意把日期归一化掉——同一批文件散给多少客户，日期都一样，谁也别想从时间戳上看出什么。这个动作和页脚版权年份跟着访客机器时钟变正好是反的：一个是刻意抹掉时间，一个是稀里糊涂地把时间交给了别人的时钟。

这12份文件把中位数和最大值都拉偏了，剔除之前最大年龄是56.7年——一个明显不合理的数。这是本批第二把坏掉的尺子。

订单号和kit编号，能顺出什么来？

最耐看的一类字段，是那些带编号的。它们的信息密度，和sitemap里那几层互相认账的地址是一个量级——一串数字就能顺出一条链。

Klim Type Foundry是本次测到覆盖最广的商业字体厂，10个站在用。它的网页字体在13号字段里写的是这样一句：The use of this file is subject to the Klim Font Licence Agreement(s) associated with Klim Order Nº 24010164.——本文件的使用受与Klim订单号24010164关联的授权协议约束。

7个站的字体里带着各自的编号：

Klim公布的授权说明里，网页授权是按域名与流量档位卖的，每一单对应一份协议。四个八位号的前四位是2305、2308、2401、2401，读作年月的话完全说得通：2023年5月、2023年8月、2024年1月、2024年1月。allbirds那个十一位号的前四位2109也落在同一个规律上，而且它还有一处旁证——这串数字同时出现在该字体的版本串结尾（Version 1.007;hotconv 1.0.116;makeotfexe 2.5.65601;21092335946），说明它是生成这份网页字体时被一起写进去的。

这仍然只是推断，不是Klim公布的规则，我没有第二个数据源能验证。但如果成立，那么italic和fahertybrand是同一个月下的单，序号差52——这两家互不相干的品牌，在Klim的订单簿上挨得很近。

casper与thefarmersdog那两个是直接给了授权页地址。这两个地址我逐个访问过，都是404。写在文件里的、指名道姓属于你这一单的授权页，打不开了。

另一类编号来自转售平台。brooklinen的Brandon Text，3号字段是com.myfonts.hvdfonts.brandon-text.medium.wfkit2.j9HM。这是MyFonts的网页字体套件标识，一串点分层级里写着：平台是MyFonts，字体厂是hvdfonts，字体是brandon-text，字重medium，套件版本wfkit2，最后是套件编号。买在哪、买的哪一款、哪个版本，一行字全交代了。

Adobe的三代地址，同时活在2026年

另外7个站的许可网址指向Adobe，而这7条地址分属三代：

• aloyoga和liquiddeath写的是typekit.com/eulas/<编号>——Typekit是Adobe在2018年更名为Adobe Fonts之前的品牌。
• hellotushy和misen写的是fonts.adobe.com/eulas/<编号>——现在的地址。
• fromourplace、reebok、snowpeak写的是adobe.com/type/legal.html——更老的一种写法，本地实测连不上。

同一家供应商的三代地址，同时活在2026年的7个电商站里。它们各自停在了哪一代，取决于这份字体是哪一年从Adobe那边取回来的。这跟响应头里那248个死字段多数不是你写的是同一个道理：你的站上有一批东西的年龄，取决于你什么时候接手的那份文件，而不是你什么时候上的线。

那些写在文件里的许可地址，现在还通不通？

字体的11号、12号、14号三个字段存的都是网址。127个站的字体里，去重后共176个不同地址。我逐个访问，跟随跳转，非200的再补一次尾斜杠重试。

结果：152个通（86.4%），24个不通（13.6%），影响20个站。按字段分，许可网址挂了12个，设计师网址8个，厂商网址7个。

不通的这24个，形态各不一样：

• 真的没了：liquiddeath的三个typekit.com/eulas/编号，跳到fonts.adobe.com之后是404——Adobe库里查不到这几单了。reebok的fontfont.com/eula/license.html跳到fontshop的品牌页也是404，FontFont这个牌子已经并进Monotype。taylorstitch与bugaboo共用的cotypefoundry.com/eula是404。
• 域名活着，页面搬了：snowpeak那条ms-studio.com跳到设计师的新域名marksimonson.com，路径还在，页面404。lookfantastic那条shinntype的EULA是PDF，跳到新域名之后也是404。
• 还活着的那一类长什么样：作为对照，cybex-online与govee的字体指向Hoefler & Co的最终用户授权协议，本次实测正常返回，页面也确实还在维护。这条通与不通的差别，基本就是字体厂这些年有没有被并购过。
• 站点自己出了问题：assos、everlane、rothys共用的milieugrotesque.com/downloads/返回522，Cloudflare的源站超时——不是页面没了，是服务器没起来。
• 连不上：uniqlo那条森泽的日文站从我这里连不上，babybjorn那条设计师的奥地利个人站也连不上。

这里得记一笔账。我第一版判死了25个，重判之后是24个，而且好几条的性质完全变了——这是第三把坏掉的尺子，后面细说。

尺子坏了三次，每次都改了结论

这一批我建了几个新判据，每一个都在抽样核对时露出问题。按发现顺序列出来，包括改之前那个错结论长什么样：

第1条最值得展开。glyphs_mapped < 60这条判据看着很合理——图标字体不就是几十个字形吗。核对清单时才发现，assos站上的Roboto Light只有1个字形，traeger的Roboto只有6个，insta360的思源黑体只有12个。它们全是被unicode-range切成分片的正文字体，一片里就那么几个字。rapha.cc那份只有17个字形的Rapha Sans Numerals，是一套只含数字的定制字，比多数正文字体还贵。

第4条最值得警惕。第一版的结论是Typekit的授权页整个下线了，听着像个漂亮发现。跟随跳转之后才看清：aloyoga那四个编号跳到fonts.adobe.com全是200，liquiddeath那三个才是404。同样一个域名，一半的单还查得到，一半查不到——这个结论比原来那个精确得多，也更有用。

这类返工的性价比其实很高。审计工具自己划的及格线之所以不可信，根子也在这儿：判据是谁定的、核对过没有，比最后那个百分比重要得多。这已经是连续第三批出现同一类失误了：判据本身写得太粗，第一版跑出来的数看着规整，正是因为它把一大批东西粗暴地归进了同一格。凡是第一版就跑出漂亮结论的，都要额外查一遍。

独立站该怎么查自己这一块？

这件事的排查成本很低，一次十几分钟，之后基本不用再动。

第一步，把自己的字体清单拉出来。打开首页，看开发者工具的网络面板，按字体类型筛，或者直接在样式表里搜@font-face。把每一个字体地址记下来。别只看首页——商品页、结账页常常另有一套，这跟支付页的脚本策略和首页不是一套是同一个道理。

第二步，读一遍name表。Python装fontTools，几行代码的事：

from fontTools.ttLib import TTFont
f = TTFont('your-font.woff2')
for r in f['name'].names:
    print(r.nameID, r.toUnicode())
print('fsType =', f['OS/2'].fsType)

重点看0、7、13、14这四个编号，还有fsType。如果13号里出现commercial、redistribute、publicly available servers、personal use这几个词，把那句话整段复制出来，连同字体文件名一起发给采购或者法务。你不需要自己判断合不合规，你只需要把这段话摆到该看它的人面前。

第三步，对一遍采购记录。如果字体里有订单号、kit编号、EULA地址，拿它去核对你手上的合同：授权的域名对不对，授权的类型是网页还是桌面，流量档位有没有超。法务和SEO的协作账本里，这一项通常挂在没人认领的那一栏。

第四步，顺手看看有没有该清的。本次127个站里，我至少见到三类可以直接清掉的东西：换过品牌之后没删的旧字体、只在某个已下线的活动页用过的展示字、以及像那份苹果San Francisco一样明显是设计阶段拿来做样稿、后来跟着主题一起上线的文件。这跟第三方脚本在两天半里自己变了的排查是一路的：站上到底有什么，得定期数一遍。

一个实际的处理路径

保哥去年帮一个做户外装备的独立站做技术盘点时，遇到过类似的一格。那个站的主题是从一家代运营接手的，字体目录里有九个文件，name表里三家不同的字体厂。对着采购单一核，只有其中一家有合同，另外两家是代运营当年做视觉稿时顺手放进主题的。处理办法不复杂：有合同的留着，另外两款在CSS里把字体族替换成已授权的那一套，文件从主题里删掉，前后各截一次首屏截图给品牌方确认视觉没变。整件事花了小半天，依据就是name表里那三行不同的版权文本。

做完这一遍，我建议把它写进上线检查表，和HTML注释里的构建日期与供应商名单放在同一节。这两件事的性质完全一样：都是交付物里夹带的、没人负责清理的文字。区别只在于，注释是你自己写的，字体里那段话是别人写给你的。

为什么这件事和SEO有关

直接关系有两条，间接关系有一条。

字节。这一项直接落在网页体积那本账上。segway一个站的自托管字体是47.5MB，sulwhasoo是22.2MB，dreametech是9.4MB——都是中日韩字体，字形数量摆在那儿，这是没办法的事。但127个站合计152.9MB这个数里，有相当一部分是重复上传、没在用、或者早该子集化的文件。字体加载策略那一层大家都在优化，字体柜里到底堆了多少份没人管。这也是设计与SEO协作里最容易掉进缝里的一格：设计交付的是视觉，前端交付的是加载性能，字体文件本身归谁管，没写在任何一份职责说明里。

可控性。一份带着受限授权位、许可地址已经404、厂商都并购过两轮的字体文件，你是没法安全地对它做任何优化的——不敢子集化，不敢转格式，因为你不知道合同允许到哪一步。小语种站的字体开销之所以格外难压，一半是字形数量的问题，另一半就是这个：你连能不能动它都不确定。

间接的那条，是同一种工作习惯的延伸。页脚署的公司名116个站里只有11个能查到编号，142个站里108个的响应头在自相矛盾，132个首页有23%的canonical自相矛盾——这些都不是难题，是没人负责的空档。字体里的那段话，只是这批空档里最安静的一个。

常见问题解答

把name表删掉是不是就没事了？

删字段不等于取得授权，法律关系不会因为你删了一行文本而改变，反倒可能被解读成刻意去除权利管理信息。正确的动作顺序是反过来的：先拿那段文本去核对合同，确认授权覆盖了你的用法；确认之后，出于体积考虑做适度精简是可以的，但至少保留版权行与商标声明，很多授权协议明确要求保留它们。真正要做的是把授权补齐，不是把证据抹掉。

用Google Fonts自托管有没有这个问题？

没有这一层的问题。Google Fonts上的字体绝大多数走SIL开放字体许可1.1，允许自由使用、修改与再分发，条件只有两条：不得单独售卖字体本身；如果原作者声明了保留字体名，修改版不能沿用那个名字。本次实测里ikea.com的做法是个好例子——它基于Noto做了自己的版本，叫Noto IKEA Latin，并在版权行里给IKEA声明了保留字体名，这正是这个条款的标准用法。

fsType标着4或者2，是不是就说明这个站违规了？

不能这么推。fsType约束的是把字体嵌入文档这条路径，网页上的自托管由你和厂商的网页授权合同管，两者是两套东西。fsType的价值在于它是厂商用机器可读的方式留下的意图记录：当你手上有几十个字体文件、又不知道该先查哪一个时，把带非零限制位的挑出来先看，效率比逐个人工翻高得多。它是排查的排序依据，不是结论。

字体文件里的日期能不能当作站点的更新时间参考？

不能，方向反了。head表里的日期是字体被生成或修改的时间，跟你的站什么时候上线、什么时候改版毫无关系。本次1350份文件的中位数年龄是7.5年，而这些站绝大多数是最近两三年改过版的。这个日期唯一能告诉你的，是这份文件本身有多老——它对判断字体是不是该更新、厂商是不是还在有参考价值，对判断内容新鲜度没有任何价值。

我用的是Shopify或者WordPress主题自带的字体，责任在谁？

合同关系在你和字体厂之间，不在主题作者和字体厂之间——这是最容易被忽略的一点。主题作者把字体打包进主题时，通常在主题文档里写了一句字体授权需自行获取，但没人读那一句。这跟选主题时该看哪些代码层面的指标属于同一份检查表。实际操作上，先把主题里的字体清单拉出来，逐个看name表，凡是带商业厂商名的都去问一下主题作者：这一款是随主题授权的，还是要我自己去买。多数情况下答案是后者。

权威参考资料