Segurança do WooCommerce

Mantenha os skimmers de cartão longe do seu checkout.

Lojas virtuais são alvo por um motivo: dados de pagamento. Comece com uma análise passiva gratuita da sua loja e depois deixe os testes profundos verificarem o próprio checkout.

Análise passiva. Nada é atacado sem a sua permissão.

Análise gratuita para a sua loja

  • WooCommerce, WordPress, plugins e temas desatualizados ou vulneráveis.
  • HTTPS, HSTS e conteúdo misto nas suas páginas.
  • Content-Security-Policy, que limita de onde os scripts podem carregar e para onde podem enviar dados.
  • Bibliotecas JavaScript desatualizadas e atributos de cookies.

Testes profundos para lojas (plano Pro, proprietários verificados)

  • Sinais de skimmers: scripts de checkout desconhecidos ou alterados, código inline enviando dados para fora, formulários de pagamento falsos, domínios parecidos e falta de CSP/SRI no checkout.
  • Lógica do carrinho e do checkout: adulteração de preço e quantidade, e abuso de cupons.
  • Teste de cartões: se o seu checkout pode ser usado para testar cartões roubados em massa.
  • Exposição da API REST do WooCommerce e testes logados com uma conta de teste.

Por que isso importa para o PCI DSS

O PCI DSS v4.0 acrescentou requisitos para páginas de pagamento: manter um inventário dos scripts que rodam nelas e autorizar cada um (6.4.3), e detectar alterações não autorizadas nos seus scripts e cabeçalhos (11.6.1). O HackGrade não é um QSA e não certifica conformidade, mas os testes do checkout dão evidências e alertas antecipados. Veja a biblioteca de documentos do PCI SSC.

Perguntas frequentes

Uma análise consegue encontrar um skimmer no meu WooCommerce?

A análise passiva gratuita encontra as fraquezas que os skimmers usam para entrar. A análise profunda do plano Pro, depois que você comprova a propriedade, examina os scripts do checkout em busca de sinais de skimmers e de alterações.

Os testes do checkout fazem pedidos reais?

Não. Os testes foram feitos para proprietários verificados e só rodam com consentimento explícito. Leia o acordo de autorização de análise para saber exatamente o que roda.

Ainda preciso de um plugin de segurança?

Um plugin protege de dentro do WordPress; uma análise externa verifica o que atacantes e clientes realmente veem. Um complementa o outro.

Guias com correções para copiar e colar

Guia

Skimmers no checkout

Como os skimmers de cartão entram em lojas virtuais e como impedi-los: inventário de scripts, CSP no checkout, SRI, campos de pagamento hospedados e detecção de alterações (PCI DSS 4.0 6.4.3 e 11.6.1).

Guia

Reforço do WordPress

Um checklist prático de reforço do WordPress com trechos para copiar e colar: bloquear o XML-RPC, esconder nomes de usuário, desativar o editor de arquivos, proteger o wp-config.php e impedir PHP em uploads.

Guia

Content-Security-Policy

Implante uma Content-Security-Policy sem quebrar seu site: comece em modo somente relatório, monte uma lista de permissões e depois aplique. Exemplos para nginx, Apache e WordPress.

Mais testes gratuitos

Grátis · Na hora · Sem cadastro

Descubra sua nota antes que outra pessoa descubra.

Análise passiva. Nada é atacado sem a sua permissão.

Comece grátis. Planos pagos a partir de US$ 12 por mês, ou um relatório avulso por US$ 29. Ver preços