דוח אבטחת אתר

מה אנחנו בודקים

• HTTPS ותעודה

  עמודים שמוגשים בלי HTTPS, האם HTTP מפנה ל-HTTPS, והאם התעודה מהימנה, בתוקף ומשתמשת בגרסת TLS מודרנית.

• כותרות אבטחה

  HSTS, הגנה מפני הטמעה במסגרות (framing), X-Content-Type-Options, Referrer-Policy ו-Content Security Policy. ב-Shopify הן מנוהלות על ידי הפלטפורמה ומוצגות לעיון.

• עוגיות

  עוגיות בלי הדגל Secure, ועוגיות דמויות סשן שסקריפטים יכולים לקרוא.

• תוכן מעורב וטפסים

  משאבי HTTP לא מאובטחים בעמודי HTTPS, וטפסים ששולחים נתונים ב-HTTP רגיל.

• JavaScript מיושן

  גרסאות של jQuery, jQuery UI ו-Lodash עם חולשות ידועות בציבור.

• חשיפת מידע ויצירת קשר

  גרסאות של תוכנת השרת בכותרות, והאם אתם מפרסמים איש קשר ב-security.txt.

• זיוף דוא״ל

  האם מדיניות ה-DMARC שלכם מונעת מאחרים לשלוח דוא״ל שנראה כאילו נשלח מכם.

• Problem

  Insecure (HTTP) resources on HTTPS pages

  {n} page(s) load files over plain HTTP.{"n":1}

  Fix: Change the listed addresses to {https} (or upload the files to your store), in the theme or the app that adds them.{"https":"https://"}

• Problem

  Outdated JavaScript libraries with known vulnerabilities

  jQuery 3.4.1

  Fix: Find which theme file or app loads the library (search the theme code for its file name).

• Problem

  Cookies without the {flag} flag{"flag":"Secure"}

  hp_session

  Fix: Set the {flag} attribute on these cookies in the app or code that creates them.{"flag":"Secure"}