Audit zabezpečenia e-shopov · WooCommerce · Magento · PrestaShop · vlastné riešenia

Audit zabezpečenia vášho e-shopu. Cookies, GDPR, platby.

Vieme, ako sa správajú WooCommerce, Magento a PrestaShop, aj kde najčastejšie zlyhávajú e-shopy písané na mieru. Zistíme, či je relácia vašich zákazníkov chránená, či presmerovanie na platobnú bránu drží HTTPS a či máte cookies podľa GDPR.

Pasívny sken · žiadna registrácia · výsledky do 30 sekúnd

https://

Sken trvá 30 sekúnd. PDF report si potom vyžiadajte tlačidlom na výsledkoch.

Ako to funguje

3 kroky · 30 sekúnd

Zadáte doménu e-shopu

Platformu rozpoznáme sami: WooCommerce, Magento, PrestaShop alebo vlastné riešenie.

Kontroly pre e-shopy

Atribúty cookies, GDPR/ePrivacy, presmerovanie na platobnú bránu, zmiešaný obsah, odhalené konfiguračné súbory.

Report s konkrétnymi krokmi

Pri každom náleze vysvetlíme, čo sa deje a kde to má vývojár opraviť.

Čo kontrolujeme pri e-shopoch

E-shopy riešia iné veci ako blogy: relácie, platby, cookies, GDPR. Tu je 6 problémov, ktoré pri nich vidíme najčastejšie.

Cookieskritické

Relačná cookie bez Secure

Cookie s identifikátorom relácie putuje aj cez HTTP. Na verejnej Wi-Fi tak útočník prevezme účet zákazníka.

Set-Cookie: PHPSESSID=…; Path=/

Platbykritické

Presmerovanie na platbu cez HTTP

Medzi košíkom a platobnou bránou je jeden krok cez HTTP. Útočník v rovnakej sieti ho môže presmerovať inam.

301 http://gateway/pay (downgrade)

GDPRvarovanie

Cookies nastavené pred súhlasom

Cookies tretích strán (Google Analytics, Meta Pixel) sa nastavujú pred zobrazením súhlasu. Úrad na ochranu osobných údajov za to môže uložiť pokutu.

Set-Cookie: _ga, _fbp (pred consent)

Cookiesvarovanie

Cookie bez SameSite

Staršie prehliadače (Safari < 13) sú zraniteľné na CSRF. Útočník môže v mene zákazníka zadať objednávku.

SameSite: not set

Zmiešaný obsahvarovanie

Zmiešaný obsah na produktovej stránke

Obrázok načítaný cez http:// moderný prehliadač zablokuje. Návštevník vidí rozbitú stránku a majiteľ o ničom nevie.

img src: http://cdn.example/foto.jpg

Hlavičkyvarovanie

Chýba HSTS

Bez HSTS prvá návšteva často prebehne cez HTTP. Útočník na Wi-Fi v hoteli alebo kaviarni to môže zneužiť.

Strict-Transport-Security: (missing)

O Vulscan

Pracujeme s e-shopmi roky a vieme, ako WooCommerce, Magento aj PrestaShop spracovávajú cookies a presmerovania, a kde najčastejšie chybujú e-shopy písané na mieru. Pri e-shope nejde len o pokutu podľa GDPR. Únik relácie znamená priamu stratu zákazníka.

hello@vulscan.app LinkedIn

Pasívny sken

Žiadne invazívne testy. Správame sa ako bežný návštevník, web našu kontrolu nepocíti.

Lokálny kontext

Poznáme miestne hostingy, CMS aj registrátorov, takže odporúčania dávame konkrétne.

Skutočná pomoc

Keď nálezu nerozumiete, napíšte nám. Odpovieme.

Časté otázky

Skenujete aj platobnú bránu?+

Skenujeme len reťazec presmerovaní z vášho webu na bránu (napr. https://gpwebpay.cz). Samotnú bránu kontroluje banka.

Funguje to aj pre e-shop písaný na mieru?+

Áno. Pri e-shopoch na mieru býva nálezov obvykle najviac, pretože im chýbajú ochrany, ktoré hotové platformy zapínajú samy. V reporte povieme, čo má váš vývojár upraviť.

Je sken bezpečný? Nepoškodí to web?+

Áno. Sken je pasívny a správa sa ako obyčajný návštevník. Neskúšame exploity, neprelamujeme heslá a neposielame útočné požiadavky. Web našu kontrolu nepocíti.

Čo robíte s dátami? Kam idú výsledky?+

Najzávažnejšie nálezy uvidíte hneď na webe. Kompletný PDF report si pošlete na e-mail jedným kliknutím. E-mail si necháme, aby sme vás mohli upozorniť, keby sa na vašej doméne objavil nový vážny nález. Z odberu sa môžete kedykoľvek odhlásiť.

Čo keď nájdete kritický problém?+

Dostanete report, kde je každý problém vysvetlený a má konkrétny krok na opravu. Väčšinu vecí zvládne váš webmaster. Ak nie, napíšte nám. Radi sa na to pozrieme.

Sken e-shopu zadarmo. Cookies, platby, GDPR.

PDF report ukáže, kde má váš e-shop diery a ako ich opraviť. Funguje pre open source platformy (WooCommerce, Magento, PrestaShop) aj pre e-shopy písané na mieru.