Shopify protege la plataforma. El resto es cosa tuya.
Shopify gestiona por ti el hosting, los certificados y el servidor. Tus apps, los scripts del tema, el dominio y la configuración del correo siguen siendo responsabilidad tuya, y ahí es donde suelen empezar los problemas.
Lo que controlas tú, y revisamos
- Scripts de terceros y librerías JavaScript desactualizadas añadidos por apps o cambios en el tema.
- Protección contra la suplantación de correo: SPF y DMARC en tu propio dominio, para que nadie pueda enviar correos de pedido falsos y convincentes en tu nombre.
- HTTPS y redirecciones en tu dominio personalizado y en cualquier dominio adicional que conectes.
- Las cookies y cabeceras que envía tu tienda.
Lo que controla Shopify
En Shopify no puedes cambiar el software del servidor, la configuración de TLS ni la mayoría de las cabeceras de respuesta. Si tus resultados incluyen un hallazgo de cabeceras o del servidor, normalmente es uno que Shopify establece para todas las tiendas, así que puedes consultarlo con Shopify y dedicar tu esfuerzo a las apps, los scripts, tu dominio y el correo.
Comprobaciones profundas para tiendas Shopify
Verifica la propiedad con una metaetiqueta en tu tema o un registro DNS, y el análisis profundo vigila los scripts de tu tienda en busca de cambios, orígenes desconocidos y dominios parecidos, las señales de un skimmer inyectado o de una app maliciosa.
Preguntas frecuentes
¿Shopify es seguro por defecto?
La plataforma está bien mantenida, pero las apps, los cambios en el tema y la configuración del correo siguen siendo tuyos. Muchos problemas de las tiendas vienen de un script de una app o de una dirección de remitente suplantada, no de Shopify en sí.
¿Cómo verifico mi tienda Shopify?
Añade la metaetiqueta de HackGrade en el head del theme.liquid de tu tema, o añade un registro DNS TXT en tu proveedor de dominio.
¿Por qué mi tienda Shopify pierde puntos por las cabeceras?
Shopify establece algunas cabeceras de respuesta para todas las tiendas y los propietarios no pueden cambiarlas. Tómalas como información y céntrate en los problemas que controlas.
Guías con soluciones para copiar y pegar
SPF, DKIM y DMARC
Impide que los estafadores envíen correos en nombre de tu dominio. Registros SPF y DMARC para copiar y pegar para Google Workspace y Microsoft 365, y un camino seguro de p=none a p=reject.
GuíaSkimmers en el pago
Cómo entran los skimmers de tarjetas en las tiendas online y cómo frenarlos: inventario de scripts, CSP en el pago, SRI, campos de pago alojados y detección de cambios (PCI DSS 4.0 6.4.3 y 11.6.1).
GuíaContent-Security-Policy
Implanta una Content-Security-Policy sin romper tu sitio: empieza en modo de solo informe, crea una lista de permitidos y después aplícala. Ejemplos para nginx, Apache y WordPress.
Más análisis gratuitos
Conoce tu nota antes que nadie.
Empieza gratis. Planes de pago desde 12 $ al mes, o un informe único por 29 $. Ver precios