Monitoring Shopify — co dokładnie sprawdzamy

W Shopify serwerem, aktualizacjami i bezpieczeństwem plików zajmuje się platforma — ale to nie znaczy, że sklep nie może przestać sprzedawać. Wystarczy włączona strona hasła, aplikacja, która psuje koszyk, albo obcy skrypt dodany do motywu. MonitorWWW.com rozpoznaje sklep Shopify automatycznie i pilnuje tego, na co właściciel ma realny wpływ.

Czy sklep sprzedaje

• Strona hasła — sklep odpowiada kodem 200, ale zamiast oferty pokazuje formularz z hasłem. Zwykły monitoring uzna, że wszystko działa; my wysyłamy alert.
• Koszyk i katalog — czy /cart i /collections/all odpowiadają i nie pokazują komunikatu o niedostępnym sklepie.
• API koszyka — czy /cart.js zwraca poprawny koszyk. Od niego zależy przycisk „Dodaj do koszyka" i szuflada koszyka w większości motywów.
• Komunikat Shopify o niedostępności — np. po zamrożeniu sklepu z powodu nieopłaconego planu.

Skrypty i aplikacje

• Zewnętrzne domeny skryptów w koszyku — zapamiętujemy, skąd strona koszyka ładuje JavaScript, i alarmujemy, gdy pojawi się nowa domena. Najczęściej to nowa aplikacja lub piksel, ale tak samo wygląda skrypt dodany bez Twojej wiedzy.
• Podejrzany kod — wykonywanie zakodowanego kodu, odczyt pól karty połączony z wysyłką danych, połączenia WebSocket do obcych domen i skrypty udające obrazy.

Domeny należące do samego Shopify pomijamy — zmieniają się bez udziału sprzedawcy. Skan obejmuje kod HTML strony koszyka; sama płatność odbywa się na stronach Shopify, do których nie mamy i nie potrzebujemy dostępu.

Domena i SEO

• Przekierowanie z *.myshopify.com — czy techniczny adres sklepu kieruje na domenę główną, czy wyświetla tę samą treść pod drugim adresem.
• Motyw — nazwa i wersja, jeśli motyw je podaje.
• Certyfikat SSL i termin wygaśnięcia domeny — domena podpięta do Shopify nadal jest Twoja i nadal może wygasnąć.

Jak często

Dostępność sklepu sprawdzamy co kilka minut. Dodatkowe sprawdzenia Shopify to cztery zapytania na dobę, pojedynczo, w kilkugodzinnych i nieregularnych odstępach — tak, żeby nie obciążać sklepu i nie trafić na ograniczenia platformy. Na nowej stronie pierwszy cykl kończy się w około godzinę.

Nie instalujemy aplikacji w sklepie i nie potrzebujemy dostępu do panelu Shopify — sprawdzamy sklep tak, jak widzi go klient.

Alerty

O awarii informujemy e-mailem, SMS-em lub przez Telegram. Osobny alert (e-mail, Telegram, webhook) wysyłamy, gdy sklep zostanie zablokowany stroną hasła, gdy w koszyku pojawi się nowa domena skryptów albo podejrzany kod. Pozostałe znaleziska są w panelu razem z instrukcją, gdzie w ustawieniach Shopify to poprawić.

Co sprawdzamy na każdej stronie, niezależnie od platformy

• Dostępność i czas odpowiedzi — kod HTTP, czas ładowania, przekierowania, tryb konserwacji.
• Certyfikat SSL i domena — ważność certyfikatu i termin wygaśnięcia domeny, z alertem przed terminem.
• DNS — rekordy SPF, DMARC, MX i CAA.
• Nagłówki bezpieczeństwa — HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy oraz flagi ciasteczek.
• Pliki, których nie powinno być widać — .env, .git, phpMyAdmin, kopie zapasowe, listowanie katalogów.
• Malware i błędy PHP — podejrzany kod i komunikaty błędów w treści strony.
• Czarne listy — czy domena trafiła na listę stron niebezpiecznych.
• Zmiany treści — opcjonalne słowo kluczowe, które musi być na stronie.