WooCommerce 安全
把盗卡 skimmer 挡在结账页之外。
网店成为攻击目标只有一个原因：支付数据。先对你的店铺做一次免费的被动扫描，再让深度测试检查结账流程本身。
被动扫描。未经你的许可，不会进行任何攻击性检测。
为你的店铺提供免费扫描
- 过时或有漏洞的 WooCommerce、WordPress、插件和主题。
- 页面上的 HTTPS、HSTS 和混合内容。
- Content-Security-Policy，它限制脚本可以从哪里加载、可以把数据发到哪里。
- 过时的 JavaScript 库和 Cookie 属性。
网店深度测试（Pro 套餐，已验证的所有者）
- Skimmer 迹象：未知或被改动的结账脚本、向外发送数据的内联代码、伪造的支付表单、仿冒域名，以及结账页缺少 CSP/SRI。
- 购物车与结账逻辑：价格和数量篡改，以及优惠券滥用。
- 盗刷测试：你的结账流程是否可能被滥用来批量测试被盗的银行卡。
- WooCommerce REST API 暴露，以及使用测试账户进行的登录后测试。
为什么这对 PCI DSS 很重要
PCI DSS v4.0 为支付页面增加了要求：为其中运行的脚本建立清单并逐一授权（6.4.3），以及检测对其脚本和响应头的未授权更改（11.6.1）。HackGrade 不是 QSA，也不认证合规，但结账测试能为你提供证据和预警。参见 PCI SSC 文档库。
常见问题
扫描能在我的 WooCommerce 网站上找到 skimmer 吗？
免费的被动扫描能找出 skimmer 用来入侵的弱点。Pro 深度扫描在你验证所有权后，会检查结账脚本中的 skimmer 迹象和改动。
结账测试会下真实订单吗？
不会。这些测试专为已验证的所有者设计，并且只有在明确同意后才会运行。具体运行哪些内容，请阅读扫描授权协议。
我还需要安全插件吗？
插件从 WordPress 内部提供保护；外部扫描检查的是攻击者和顾客实际看到的内容。两者互为补充。
附可复制粘贴修复方法的指南
指南
结账页 skimmer
盗卡 skimmer 如何进入网店，以及如何阻止它们：脚本清单、结账页 CSP、SRI、托管支付字段和变更检测（PCI DSS 4.0 6.4.3 和 11.6.1）。
指南WordPress 加固
一份实用的 WordPress 加固清单，附可复制粘贴的代码片段：屏蔽 XML-RPC、隐藏用户名、禁用文件编辑器、保护 wp-config.php、禁止在 uploads 中运行 PHP。
指南Content-Security-Policy
在不弄坏网站的前提下部署 Content-Security-Policy：从仅报告模式开始，建立允许列表，然后强制执行。附 nginx、Apache 和 WordPress 示例。
更多免费检测
免费 · 即时 · 无需注册
抢在别人之前了解你的评级。
被动扫描。未经你的许可，不会进行任何攻击性检测。
免费开始。付费套餐每月 12 美元起，或 29 美元购买单次报告。 查看价格