Report di correzione

Report Sicurezza del sito

Controlliamo la configurazione di sicurezza che chiunque può vedere dall’esterno del tuo sito web: certificato, header, cookie, script e DNS pubblico. Il controllo è passivo: nulla viene attaccato, nessuna password viene provata e nessun percorso nascosto viene sondato.

  • Certificato e redirect HTTPS
  • Header, cookie, contenuti misti
  • Librerie JavaScript obsolete

Cosa controlliamo

  • HTTPS e certificato

    Pagine servite senza HTTPS, se HTTP reindirizza a HTTPS, e se il certificato è attendibile, valido e usa una versione moderna di TLS.

  • Header di sicurezza

    HSTS, protezione dal framing, X-Content-Type-Options, Referrer-Policy e Content Security Policy. Su Shopify sono gestiti dalla piattaforma e mostrati a titolo informativo.

  • Cookie

    Cookie senza il flag Secure e cookie simili a quelli di sessione leggibili dagli script.

  • Contenuti misti e moduli

    Risorse HTTP non sicure su pagine HTTPS, e moduli che inviano dati tramite HTTP non cifrato.

  • JavaScript obsoleto

    Versioni di jQuery, jQuery UI e Lodash con vulnerabilità pubblicamente note.

  • Informazioni esposte e contatto

    Versioni del software del server negli header, e se pubblichi un contatto security.txt.

  • Spoofing email

    Se la tua policy DMARC impedisce ad altri di inviare email che sembrano provenire da te.

Cosa ricevi

  • Ogni rischio con cosa significa per il tuo sito web
  • Cosa controlli tu e cosa gestisce la tua piattaforma
  • Correzioni per il tuo server, la tua CDN o la tua piattaforma
  • Un prompt per l’IA pronto all’uso per ogni problema rilevato
  • Un PDF da condividere con il tuo sviluppatore

Come viene realizzato il report

  1. 1

    Le tue pagine vengono caricate in un browser e ne vengono letti header, cookie e script.

  2. 2

    Il certificato, il redirect HTTP e security.txt vengono controllati dall’esterno.

  3. 3

    Il record DMARC del tuo dominio viene letto dal DNS pubblico.

Problemi rilevati nel report di esempio

Output reale per Harbor & Pine, un negozio fittizio che abbiamo creato con problemi comuni.

Apri il report di esempio completo
  • Problem

    Insecure (HTTP) resources on HTTPS pages

    {n} page(s) load files over plain HTTP.{"n":1}

    Fix: Change the listed addresses to {https} (or upload the files to your store), in the theme or the app that adds them.{"https":"https://"}

  • Problem

    Outdated JavaScript libraries with known vulnerabilities

    jQuery 3.4.1

    Fix: Find which theme file or app loads the library (search the theme code for its file name).

  • Problem

    Cookies without the {flag} flag{"flag":"Secure"}

    hp_session

    Fix: Set the {flag} attribute on these cookies in the app or code that creates them.{"flag":"Secure"}

Cosa non copre

  • Un penetration test, una scansione delle vulnerabilità o un audit di sicurezza completo
  • Sicurezza di area amministrativa, login e checkout
  • Configurazione del server, dell’hosting o dell’applicazione

Domande su questo report

È un penetration test?

No. Legge solo ciò che il browser di qualsiasi visitatore può vedere. Non attacchiamo mai il tuo sito, non proviamo password e non sondiamo percorsi nascosti.

Perché nei negozi Shopify alcuni elementi sono indicati come informativi?

Shopify imposta da sé gli header dello storefront e alcuni cookie, e i commercianti non possono modificarli. Il report li mostra a titolo informativo e si concentra su ciò che controlli tu.

Quali librerie vengono controllate?

jQuery, jQuery UI e Lodash, confrontate con le versioni che hanno vulnerabilità pubblicamente note (elencate nei CVE).

Conservate qualcosa del mio sito?

Solo i risultati dei controlli e gli screenshot usati nel tuo report. Consulta l’informativa sulla privacy per i tempi di conservazione.

Guide correlate

Altri report

Analizza il tuo sito oggi stesso

Trova. Correggi. Verifica.

Che tipo di sito è?

La tua risposta sceglie i controlli giusti, come il percorso d’acquisto per i negozi online. Controlliamo comunque gli indizi del sito stesso e mostriamo entrambi.

Che tipo di sito è?

Scansione gratuita. Nessuna carta di credito richiesta.