Shopify: руководство по повышению готовности

Готовность по направлениям

Практическое руководство по Shopify

Недочёты упорядочены по степени влияния; где возможно, указан шаг для конкретной платформы.

1. HSTS сохраняется не менее года

   3.7% выявлено · все сайты 31%

   Отправляйте Strict-Transport-Security в ответах по HTTPS. Начните с небольшого значения max-age (например, 300 секунд), убедитесь, что каждый поддомен работает по HTTPS, а затем поэтапно увеличивайте значение до 31536000. Добавляйте includeSubDomains только тогда, когда все поддомены используют HTTPS. Предварительная загрузка HSTS необязательна, и отменить её сложно; сам hstspreload.org не рекомендует её по умолчанию.

   Руководство: HTTPS и TLS: руководство для владельцев сайтов

2. Политика DMARC требует помещения в карантин или отклонения

   25% выявлено · все сайты 31%

   Сначала опубликуйте DMARC с p=none и адресом для отчётов, устраните проблемы у всех легитимных отправителей, не проходящих проверку согласования SPF или DKIM, затем перейдите к quarantine и, наконец, к reject.

   Руководство: Практическая проверка состояния сайта для владельцев

3. security.txt опубликован

   <1% выявлено · все сайты 5.5%

   Опубликуйте /.well-known/security.txt как минимум с полями Contact и Expires, как требует RFC 9116, и проверьте его до истечения срока действия.

   Руководство: Практическая проверка состояния сайта для владельцев

4. Записи CAA ограничивают круг тех, кто может выпускать сертификаты

   28% выявлено · все сайты 11%

   Опубликуйте записи CAA, указав все центры сертификации, которыми вы действительно пользуетесь, включая те, которые ваша CDN использует для управляемых сертификатов. Добавьте контакт iodef, если хотите получать отчёты.

   Руководство: HTTPS и TLS: руководство для владельцев сайтов

5. Используются современные форматы изображений

   53% выявлено · все сайты 40%

   Отдавайте WebP или AVIF с резервным вариантом в JPEG или PNG — через CDN для изображений либо генерируя оба формата при сборке.

   На Shopify: CDN изображений Shopify может отдавать современные форматы; следуйте рекомендациям Shopify по веб-производительности для тем.

   Руководство: AVIF, WebP, JPEG и PNG: как выбрать правильный формат изображения

6. DNSSEC подписан

   6.8% выявлено · все сайты 8.1%

   Включите DNSSEC у своего провайдера DNS, затем добавьте запись DS у регистратора. Тщательно планируйте переход к другому провайдеру: устаревшая запись DS может привести к тому, что домен перестанет разрешаться.

   Руководство: Готовность сайта к доступности: подготовьтесь до прихода трафика

7. Referrer-Policy задан

   2.4% выявлено · все сайты 23%

   Отправляйте Referrer-Policy: strict-origin-when-cross-origin, если у вас нет причин передавать больше информации.

   Руководство: Практическая проверка состояния сайта для владельцев

8. Серверы имён распределены между провайдерами

   7% выявлено · все сайты 11%

   Считайте это шагом для продвинутой настройки. Добавьте вторичного DNS-провайдера через передачу зон или конфигурацию с несколькими провайдерами, затем тщательно проверьте изменения, поскольку оба провайдера должны оставаться синхронизированными.

   Руководство: Готовность сайта к доступности: подготовьтесь до прихода трафика

В чём сайты на Shopify лидируют

• Присутствует политика безопасности содержимогообнаружено: 96%все сайты: 31%
• Заявлена поддержка HTTP/3обнаружено: 96%все сайты: 36%
• X-Content-Type-Options: nosniff98% выявленовсе сайты 48%
• Встраивание во фреймы ограничено98% выявленовсе сайты 49%

note на хостинговых платформах

На Shopify платформа контролирует значительную часть настроек TLS, заголовков и кеширования. Владельцы в основном влияют на проверки на уровне контента, такие как изображения, структурированные данные, превью для социальных сетей и карта сайта. Недочёты на уровне заголовков стоит обсудить с платформой.

Все 31 проверок на Shopify

Сайты на Shopify с высоким уровнем готовности

• dotandkey.com86
• edenrobe.com86
• jockey.in86
• junaidjamshed.com84
• pepstores.com84
• triveniworld.com84
• dream2000.com83
• limelight.pk82
• gharsoaps.shop82
• levi.in82
• shopify.com81
• fashionnova.com81
• ackermans.co.za80
• thesleepcompany.in80
• boat-lifestyle.com79
• deodap.in79
• littleboxindia.com79
• one8.com79
• outfitters.com.pk79
• stylo.pk79

Связанные материалы