Segurança da Shopify

A Shopify protege a plataforma. O resto é com você.

A Shopify gerencia para você a hospedagem, os certificados e o servidor. Seus apps, os scripts do tema, o domínio e as configurações de e-mail continuam sendo responsabilidade sua, e é aí que os problemas costumam começar.

Análise passiva. Nada é atacado sem a sua permissão.

O que você controla, e nós verificamos

  • Scripts de terceiros e bibliotecas JavaScript desatualizadas adicionados por apps ou edições do tema.
  • Proteção contra falsificação de e-mail: SPF e DMARC no seu próprio domínio, para que ninguém consiga enviar e-mails de pedido falsos e convincentes em seu nome.
  • HTTPS e redirecionamentos no seu domínio personalizado e em qualquer domínio extra que você conectar.
  • Os cookies e cabeçalhos que a sua loja envia.

O que a Shopify controla

Na Shopify você não pode mudar o software do servidor, as configurações de TLS nem a maioria dos cabeçalhos de resposta. Se os seus resultados incluírem um achado de cabeçalho ou de servidor, normalmente é um que a Shopify define para todas as lojas; então você pode perguntar à Shopify sobre ele e concentrar seu esforço nos apps, nos scripts, no seu domínio e no e-mail.

Verificações profundas para lojas Shopify

Comprove a propriedade com uma meta tag no seu tema ou um registro DNS, e a análise profunda acompanha os scripts da sua vitrine em busca de alterações, origens desconhecidas e domínios parecidos, os sinais de um skimmer injetado ou de um app malicioso.

Perguntas frequentes

A Shopify é segura por padrão?

A plataforma é bem mantida, mas apps, edições do tema e configurações de e-mail continuam sendo seus. Muitos problemas de lojas vêm de um script de app ou de um endereço de remetente falsificado, não da Shopify em si.

Como comprovo a propriedade da minha loja Shopify?

Adicione a meta tag do HackGrade no head do theme.liquid do seu tema, ou adicione um registro DNS TXT no seu provedor de domínio.

Por que minha loja Shopify perde pontos por cabeçalhos?

Alguns cabeçalhos de resposta são definidos pela Shopify para todas as lojas e os lojistas não podem mudá-los. Trate-os como informação e foque nos problemas que você controla.

Guias com correções para copiar e colar

Guia

SPF, DKIM e DMARC

Impeça golpistas de enviar e-mails em nome do seu domínio. Registros SPF e DMARC para copiar e colar para Google Workspace e Microsoft 365, além de um caminho seguro de p=none a p=reject.

Guia

Skimmers no checkout

Como os skimmers de cartão entram em lojas virtuais e como impedi-los: inventário de scripts, CSP no checkout, SRI, campos de pagamento hospedados e detecção de alterações (PCI DSS 4.0 6.4.3 e 11.6.1).

Guia

Content-Security-Policy

Implante uma Content-Security-Policy sem quebrar seu site: comece em modo somente relatório, monte uma lista de permissões e depois aplique. Exemplos para nginx, Apache e WordPress.

Mais testes gratuitos

Grátis · Na hora · Sem cadastro

Descubra sua nota antes que outra pessoa descubra.

Análise passiva. Nada é atacado sem a sua permissão.

Comece grátis. Planos pagos a partir de US$ 12 por mês, ou um relatório avulso por US$ 29. Ver preços