PrestaShop: руководство по повышению готовности

Готовность по направлениям

Практическое руководство по PrestaShop

Недочёты упорядочены по степени влияния; где возможно, указан шаг для конкретной платформы.

1. HSTS сохраняется не менее года

   21% выявлено · все сайты 31%

   Отправляйте Strict-Transport-Security в ответах по HTTPS. Начните с небольшого значения max-age (например, 300 секунд), убедитесь, что каждый поддомен работает по HTTPS, а затем поэтапно увеличивайте значение до 31536000. Добавляйте includeSubDomains только тогда, когда все поддомены используют HTTPS. Предварительная загрузка HSTS необязательна, и отменить её сложно; сам hstspreload.org не рекомендует её по умолчанию.

   Руководство: HTTPS и TLS: руководство для владельцев сайтов

2. Политика DMARC требует помещения в карантин или отклонения

   27% выявлено · все сайты 31%

   Сначала опубликуйте DMARC с p=none и адресом для отчётов, устраните проблемы у всех легитимных отправителей, не проходящих проверку согласования SPF или DKIM, затем перейдите к quarantine и, наконец, к reject.

   Руководство: Практическая проверка состояния сайта для владельцев

3. Статические файлы кешируются на срок не менее 30 дней

   31% выявлено · все сайты 50%

   Для CSS, JavaScript, шрифтов и изображений с версией в имени файла (отпечатком содержимого) задайте Cache-Control: public, max-age=31536000, immutable и меняйте имя файла при каждом изменении содержимого.

   Руководство: Руководство по кэшированию в браузере для владельцев сайтов

4. security.txt опубликован

   3.3% выявлено · все сайты 5.5%

   Опубликуйте /.well-known/security.txt как минимум с полями Contact и Expires, как требует RFC 9116, и проверьте его до истечения срока действия.

   Руководство: Практическая проверка состояния сайта для владельцев

5. Используются современные форматы изображений

   36% выявлено · все сайты 40%

   Отдавайте WebP или AVIF с резервным вариантом в JPEG или PNG — через CDN для изображений либо генерируя оба формата при сборке.

   Руководство: AVIF, WebP, JPEG и PNG: как выбрать правильный формат изображения

6. Записи CAA ограничивают круг тех, кто может выпускать сертификаты

   6.7% выявлено · все сайты 11%

   Опубликуйте записи CAA, указав все центры сертификации, которыми вы действительно пользуетесь, включая те, которые ваша CDN использует для управляемых сертификатов. Добавьте контакт iodef, если хотите получать отчёты.

   Руководство: HTTPS и TLS: руководство для владельцев сайтов

7. Политика безопасности содержимого задана

   15% выявлено · все сайты 31%

   Начните с Content-Security-Policy-Report-Only, чтобы увидеть, что перестанет работать, ужесточайте политику в течение нескольких недель, а затем включите её принудительное применение.

   Руководство: Безопасность платежей и PCI DSS: что нужно знать владельцам сайтов

8. Встраивание во фреймы ограничено

   27% выявлено · все сайты 49%

   Отправляйте Content-Security-Policy: frame-ancestors 'self' (или список доверенных источников). X-Frame-Options: SAMEORIGIN обеспечивает защиту в старых браузерах.

   Руководство: Практическая проверка состояния сайта для владельцев

В чём сайты на PrestaShop лидируют

• Структурированные данные присутствуют73% выявленовсе сайты 53%
• robots.txt опубликован97% выявленовсе сайты 79%
• Срок действия сертификата — 100 дней или меньшеобнаружено: 88%все сайты: 75%
• Метаописание заполненообнаружено: 95%все сайты: 82%

Все 31 проверок на PrestaShop

Сайты на PrestaShop с высоким уровнем готовности

• lanazione.it81
• hostinger.com81
• sklum.com66

Связанные материалы