گزارش امنیت وب‌سایت

آنچه بررسی می‌کنیم

• HTTPS و گواهی

  صفحاتی که بدون HTTPS ارائه می‌شوند، اینکه آیا HTTP به HTTPS ریدایرکت می‌شود، و اینکه آیا گواهی معتبر و به‌روز است و از نسخه مدرن TLS استفاده می‌کند.

• هدرهای امنیتی

  HSTS، محافظت در برابر قاب‌گذاری (framing)، X-Content-Type-Options، Referrer-Policy و Content Security Policy. در Shopify این موارد را پلتفرم مدیریت می‌کند و برای اطلاع نمایش داده می‌شوند.

• کوکی‌ها

  کوکی‌های بدون پرچم Secure و کوکی‌های شبیه کوکی نشست که اسکریپت‌ها می‌توانند آن‌ها را بخوانند.

• محتوای مختلط و فرم‌ها

  منابع ناامن HTTP در صفحات HTTPS، و فرم‌هایی که داده را از طریق HTTP ساده ارسال می‌کنند.

• جاوااسکریپت قدیمی

  نسخه‌هایی از jQuery، jQuery UI و Lodash که آسیب‌پذیری‌های شناخته‌شده عمومی دارند.

• افشای اطلاعات و راه تماس

  نسخه نرم‌افزار سرور در هدرها، و اینکه آیا فایل security.txt را برای تماس منتشر کرده‌اید.

• جعل ایمیل

  اینکه آیا سیاست DMARC شما جلوی دیگران را می‌گیرد تا ایمیل‌هایی نفرستند که به نظر برسد از طرف شماست.

• Problem

  Insecure (HTTP) resources on HTTPS pages

  {n} page(s) load files over plain HTTP.{"n":1}

  Fix: Change the listed addresses to {https} (or upload the files to your store), in the theme or the app that adds them.{"https":"https://"}

• Problem

  Outdated JavaScript libraries with known vulnerabilities

  jQuery 3.4.1

  Fix: Find which theme file or app loads the library (search the theme code for its file name).

• Problem

  Cookies without the {flag} flag{"flag":"Secure"}

  hp_session

  Fix: Set the {flag} attribute on these cookies in the app or code that creates them.{"flag":"Secure"}