修复报告

网站安全报告

我们检查任何人都能从您网站外部看到的安全配置：您的证书、响应头、Cookie、脚本和公开 DNS。检查是被动的：不攻击任何东西，不尝试密码，也不探测隐藏路径。

我们检查什么

HTTPS 和证书
未通过 HTTPS 提供的页面、HTTP 是否重定向到 HTTPS，以及证书是否受信任、是否在有效期内、是否使用现代 TLS 版本。
安全响应头
HSTS、防框架嵌入保护、X-Content-Type-Options、Referrer-Policy 和内容安全策略（Content Security Policy）。在 Shopify 上，这些由平台管理，列出仅供参考。
Cookie
没有 Secure 标志的 Cookie，以及可被脚本读取的类似会话的 Cookie。
混合内容和表单
HTTPS 页面上的不安全 HTTP 资源，以及通过明文 HTTP 发送数据的表单。
过时的 JavaScript
存在已公开漏洞的 jQuery、jQuery UI 和 Lodash 版本。
信息泄露和联系方式
响应头中暴露的服务器软件版本，以及您是否发布了 security.txt 联系方式。
邮件仿冒
您的 DMARC 策略能否阻止他人发送看似来自您的邮件。

Harbor & Pine 的真实输出。这是我们搭建的一家存在常见问题的虚构商店。

Problem
Insecure (HTTP) resources on HTTPS pages
{n} page(s) load files over plain HTTP.{"n":1}
Fix: Change the listed addresses to {https} (or upload the files to your store), in the theme or the app that adds them.{"https":"https://"}
Problem
Outdated JavaScript libraries with known vulnerabilities
jQuery 3.4.1
Fix: Find which theme file or app loads the library (search the theme code for its file name).
Problem
Cookies without the {flag} flag{"flag":"Secure"}
hp_session
Fix: Set the {flag} attribute on these cookies in the app or code that creates them.{"flag":"Secure"}

这是渗透测试吗？

不是。它只读取任何访客的浏览器都能看到的内容。我们绝不攻击您的网站、尝试密码或探测隐藏路径。

为什么 Shopify 店铺的某些项目显示为“信息”？

Shopify 自行设置店面响应头和部分 Cookie，商家无法更改。报告将其列出仅供参考，并重点关注您能掌控的部分。

检查哪些库？

jQuery、jQuery UI 和 Lodash，对照存在已公开漏洞（已列入 CVE）的版本。

你们会存储我网站的任何内容吗？

只存储检查结果以及报告中使用的截图。保留期限请参阅隐私政策。