Shopify 守护平台。其余的归你负责。
Shopify 为你管理主机、证书和服务器。你的应用、主题脚本、域名和邮件设置仍由你负责，而问题往往就从这里开始。
你能掌控、我们会检查的部分
- 由应用或主题修改添加的第三方脚本和过时的 JavaScript 库。
- 邮件防伪造：在你自己的域名上配置 SPF 和 DMARC，让别人无法冒用你的名义发送以假乱真的订单邮件。
- 你的自定义域名以及你连接的其他域名上的 HTTPS 和跳转。
- 你的店铺发送的 Cookie 和响应头。
Shopify 掌控的部分
在 Shopify 上，你无法更改服务器软件、TLS 设置或大多数响应头。如果你的结果中包含响应头或服务器方面的发现，通常是 Shopify 为所有店铺统一设置的，你可以就此咨询 Shopify，把自己的精力放在应用、脚本、域名和邮件上。
Shopify 店铺的深度检查
在主题中添加 meta 标签或添加 DNS 记录来验证所有权后，深度扫描会监控你店面脚本的改动、未知来源和仿冒域名，这些都是被注入 skimmer 或恶意应用的迹象。
常见问题
Shopify 默认就是安全的吗？
平台本身维护得很好，但应用、主题修改和邮件设置仍归你管理。很多店铺问题来自某个应用的脚本或被伪造的发件人地址，而不是 Shopify 本身。
如何验证我的 Shopify 店铺？
把 HackGrade 的 meta 标签添加到主题 theme.liquid 的 head 中，或在你的域名服务商处添加一条 DNS TXT 记录。
为什么我的 Shopify 店铺在响应头上被扣分？
有些响应头是 Shopify 为所有店铺统一设置的，店主无法更改。把它们当作参考信息，专注于你能掌控的问题。
附可复制粘贴修复方法的指南
SPF、DKIM 与 DMARC
阻止骗子冒用你的域名发邮件。可复制粘贴的 Google Workspace 和 Microsoft 365 SPF 与 DMARC 记录，以及从 p=none 到 p=reject 的安全路径。
指南结账页 skimmer
盗卡 skimmer 如何进入网店，以及如何阻止它们：脚本清单、结账页 CSP、SRI、托管支付字段和变更检测（PCI DSS 4.0 6.4.3 和 11.6.1）。
指南Content-Security-Policy
在不弄坏网站的前提下部署 Content-Security-Policy：从仅报告模式开始，建立允许列表，然后强制执行。附 nginx、Apache 和 WordPress 示例。
更多免费检测
抢在别人之前了解你的评级。
免费开始。付费套餐每月 12 美元起，或 29 美元购买单次报告。 查看价格