Audit zabezpečení e-shopů · WooCommerce · Magento · PrestaShop · vlastní řešení

Audit zabezpečení vašeho e-shopu. Cookies, GDPR, platby.

Víme, jak se chovají WooCommerce, Magento a PrestaShop, i kde nejčastěji selhávají e-shopy psané na míru. Zjistíme, jestli je relace vašich zákazníků chráněná, jestli přesměrování na platební bránu drží HTTPS a jestli máte cookies podle GDPR.

Pasivní sken · žádná registrace · výsledky do 30 sekund

https://

Sken trvá 30 sekund. PDF report si pak vyžádejte tlačítkem na výsledcích.

Jak to funguje

3 kroky · 30 sekund

Zadáte doménu e-shopu

Platformu poznáme sami: WooCommerce, Magento, PrestaShop nebo vlastní řešení.

Kontroly pro e-shopy

Atributy cookies, GDPR/ePrivacy, přesměrování na platební bránu, smíšený obsah, odhalené konfigurační soubory.

Report s konkrétními kroky

U každého nálezu vysvětlíme, co se děje a kde to má vývojář opravit.

Co kontrolujeme u e-shopů

E-shopy řeší jiné věci než blogy: relace, platby, cookies, GDPR. Tady je 6 problémů, které u nich vidíme nejčastěji.

Cookieskritické

Relační cookie bez Secure

Cookie s identifikátorem relace putuje i přes HTTP. Na veřejné Wi-Fi tak útočník převezme účet zákazníka.

Set-Cookie: PHPSESSID=…; Path=/

Platbykritické

Přesměrování na platbu přes HTTP

Mezi košíkem a platební bránou je jeden krok přes HTTP. Útočník ve stejné síti ho může přesměrovat jinam.

301 http://gateway/pay (downgrade)

GDPRvarování

Cookies nastavené před souhlasem

Cookies třetích stran (Google Analytics, Meta Pixel) se nastavují před zobrazením souhlasu. ÚOOÚ za to může uložit pokutu.

Set-Cookie: _ga, _fbp (před consent)

Cookiesvarování

Cookie bez SameSite

Starší prohlížeče (Safari < 13) jsou vůči CSRF zranitelné. Útočník může jménem zákazníka zadat objednávku.

SameSite: not set

Smíšený obsahvarování

Smíšený obsah na produktové stránce

Obrázek načítaný přes http:// moderní prohlížeč zablokuje. Návštěvník vidí rozbitou stránku a majitel o ničem neví.

img src: http://cdn.example/foto.jpg

Hlavičkyvarování

Chybí HSTS

Bez HSTS první návštěva často proběhne přes HTTP. Útočník na Wi-Fi v hotelu nebo kavárně toho může zneužít.

Strict-Transport-Security: (missing)

O Vulscan

Pracujeme s e-shopy roky a víme, jak WooCommerce, Magento i PrestaShop zacházejí s cookies a přesměrováním, a kde nejčastěji chybují e-shopy psané na míru. U e-shopu nejde jen o pokutu podle GDPR. Únik relace znamená přímou ztrátu zákazníka.

hello@vulscan.app LinkedIn

Pasivní sken

Žádné invazivní testy. Chováme se jako běžný návštěvník, web naši kontrolu nepocítí.

Český kontext

Známe místní hostingy, CMS i registrátory, takže doporučení dáváme konkrétní.

Skutečná pomoc

Když nálezu nerozumíte, napište nám. Odpovíme.

Časté otázky

Skenujete i platební bránu?+

Skenujeme jen řetězec přesměrování z vašeho webu na bránu (např. https://gpwebpay.cz). Samotnou bránu kontroluje banka.

Funguje to i pro e-shop psaný na míru?+

Ano. U e-shopů na míru bývá nálezů obvykle nejvíc, protože jim chybí ochrany, které hotové platformy zapínají samy. V reportu řekneme, co má váš vývojář upravit.

Je sken bezpečný? Nepoškodí to web?+

Ano. Sken je pasivní a chová se jako obyčejný návštěvník. Nezkoušíme exploity, neprolamujeme hesla a neposíláme útočné požadavky. Web naši kontrolu nepocítí.

Co děláte s daty? Kam jdou výsledky?+

Nejzávažnější nálezy uvidíte hned na webu. Kompletní PDF report si pošlete na e-mail jedním kliknutím. E-mail si necháme, abychom vás mohli upozornit, kdyby se na vaší doméně objevil nový vážný nález. Z odběru se můžete kdykoliv odhlásit.

Co když najdete kritický problém?+

Dostanete report, kde je každý problém vysvětlený a má konkrétní krok k opravě. Většinu věcí zvládne váš webmaster. Pokud ne, napište nám. Rádi se na to podíváme.

Sken e-shopu zdarma. Cookies, platby, GDPR.

PDF report ukáže, kde má váš e-shop díry a jak je opravit. Funguje pro open source platformy (WooCommerce, Magento, PrestaShop) i pro e-shopy psané na míru.