改善レポート

ウェブサイトセキュリティレポート

証明書、ヘッダー、Cookie、スクリプト、公開DNSなど、ウェブサイトの外から誰でも確認できるセキュリティ設定を検査します。パッシブな検査なので、攻撃、パスワードの試行、隠しパスの探索は一切行いません。

確認する項目

HTTPSと証明書
HTTPSなしで配信されているページ、HTTPがHTTPSにリダイレクトされるか、証明書が信頼され、有効期限内で、最新のTLSバージョンを使っているかを確認します。
セキュリティヘッダー
HSTS、フレーム埋め込みの保護、X-Content-Type-Options、Referrer-Policy、Content Security Policyを確認します。Shopifyではこれらはプラットフォームが管理しており、参考情報として表示します。
Cookie
Secure属性のないCookieと、スクリプトから読み取れるセッション系のCookieを確認します。
混在コンテンツとフォーム
HTTPSページ上の安全でないHTTPリソースと、暗号化されていないHTTPでデータを送信するフォームを確認します。
古いJavaScript
既知の脆弱性が公開されているjQuery、jQuery UI、Lodashのバージョンを確認します。
情報の露出と連絡先
ヘッダーに含まれるサーバーソフトウェアのバージョンと、security.txtで連絡先を公開しているかを確認します。
メールのなりすまし
DMARCポリシーによって、第三者が貴社を装ったメールを送るのを防げているかを確認します。

よくある問題を含めて当社が作成した架空のストア「Harbor & Pine」に対する実際の出力です。

Problem
Insecure (HTTP) resources on HTTPS pages
{n} page(s) load files over plain HTTP.{"n":1}
Fix: Change the listed addresses to {https} (or upload the files to your store), in the theme or the app that adds them.{"https":"https://"}
Problem
Outdated JavaScript libraries with known vulnerabilities
jQuery 3.4.1
Fix: Find which theme file or app loads the library (search the theme code for its file name).
Problem
Cookies without the {flag} flag{"flag":"Secure"}
hp_session
Fix: Set the {flag} attribute on these cookies in the app or code that creates them.{"flag":"Secure"}

これはペネトレーションテストですか？

いいえ。訪問者のブラウザから見える情報だけを読み取ります。サイトへの攻撃、パスワードの試行、隠しパスの探索は一切行いません。

Shopifyストアで一部の項目が参考情報として表示されるのはなぜですか？

ストアフロントのヘッダーと一部のCookieはShopify自身が設定しており、ストア運営者は変更できません。レポートでは参考情報として表示し、ご自身で管理できる部分に重点を置いています。

どのライブラリを確認しますか？

jQuery、jQuery UI、Lodashを、既知の脆弱性が公開されている（CVEに登録された）バージョンと照合します。

サイトの情報を保存しますか？

保存するのは、チェックの結果とレポートで使うスクリーンショットだけです。保存期間についてはプライバシーポリシーをご覧ください。