Înapoi la toate verificările

Descrieri produse

Adrese nesigure în descriere — catalog Shopify

Semnalează adrese nesigure folosite în elementele descrierii.

Necesită verificarea taDespre această verificare

Ce înseamnă o adresă URL nesigură într-un atribut al descrierii?

Elementele HTML pot avea atribute precum href sau src care indică o destinație. Unele forme de adresă nu se comportă ca un link web obișnuit; de exemplu, MDN descurajează schema javascript: deoarece navigarea poate executa cod JavaScript. Detectorul semnalează formele clasificate ca nesigure de regula PROVEN în contextul descrierii.

Constatarea nu spune că orice link extern este periculos și nu dovedește că adresa a fost activată de un cumpărător. Poate fi un snippet vechi, o valoare importată sau o funcție care nu mai aparține descrierii. Destinația corectă trebuie verificată înainte de ștergere sau înlocuire.

Exemple de atribute URL care cer context

Exemplele sunt fictive și folosesc valori simplificate. Verificarea PROVEN stabilește formele semnalate; această pagină nu este o listă exhaustivă de scheme permise sau interzise.

<a href="javascript:…">Acțiune</a>[schemă care poate executa JavaScript]

MDN descurajează javascript: URLs; constatarea păstrează atributul fără să presupună că utilizatorul l-a activat.

Un link de produs indică o destinație moștenită din alt magazinVerifică dacă URL-ul este încă valid și intenționat

O adresă greșită nu este același lucru cu o adresă nesigură, dar contextul comerciantului decide remedierea.

Un fragment importat atașează o schemă neobișnuită unui elementCompară funcția dorită cu alternative suportate

Nu înlocui destinația cu o valoare inventată doar pentru a elimina constatarea.

01

Ce verifică PROVEN?

Verifică adrese atașate elementelor descrierii care folosesc forme considerate nesigure.

02

De ce contează?

O adresă nesigură poate transforma un element de conținut într-o sursă de comportament neintenționat.

De ce verificăm adresa, nu doar textul linkului?

Textul unui link poate părea normal, în timp ce comportamentul este determinat de valoarea atributului. MDN arată că javascript: URLs sunt ținte de navigare care pot executa cod și sunt descurajate; CSP tratează de asemenea această formă ca JavaScript inline în politicile restrictive.

Pentru comerciant, remedierea corectă înseamnă fie o destinație HTTPS sau internă verificată, fie eliminarea linkului dacă nu are rol. PROVEN nu ghicește URL-ul corect și nu afirmă că constatarea dovedește un atac.

03

Ce poate face PROVEN?

PROVEN poate pregăti eliminarea controlată a adresei problematice; schimbarea necesită revizuirea ta.

Cum tratează PROVEN un atribut URL semnalat

Fluxul păstrează separat valoarea observată, intenția de navigare și destinația de înlocuire.

  1. Arată elementul, atributul și valoareaPROVEN localizează exact adresa care corespunde regulii detectorului și o păstrează ca dovezi.
  2. Verifică destinația intenționatăComerciantul stabilește dacă elementul trebuie să navigheze, să încarce o resursă sau să fie eliminat complet.
  3. Pregătește înlocuirea sau eliminareaPROVEN poate propune schimbarea numai când există o destinație verificată ori decizia clară de eliminare; comerciantul confirmă rezultatul.

De ce nu poate fi inventată o adresă „sigură”?

O constatare indică o formă de URL problematică, dar nu conține automat destinația comercială corectă. Înlocuirea cu un URL presupus poate trimite clientul la pagina greșită.

Verifică sursa produsului, linkul dorit și comportamentul temei. Prezența URL-ului nu dovedește executare, atac ori compromis.

Ce nu spune această pagină

  • Detectorul nu clasifică orice link extern drept nesigur.
  • Constatarea nu dovedește că un cumpărător a activat adresa sau că s-a executat cod.
  • Prezența unei forme URL semnalate nu dovedește atac sau compromiterea magazinului.
  • PROVEN nu inventează destinația corectă pentru un link comercial.
  • CSP și sanitizarea platformei sunt controale separate de această verificare.

Întrebări frecvente

Ce este un javascript: URL?

MDN îl descrie ca o schemă de URL care poate executa JavaScript atunci când browserul navighează către ea și recomandă evitarea acestei practici.

Orice URL neobișnuit este malițios?

Nu. Detectorul aplică propria clasificare și contextul trebuie verificat; o formă neobișnuită nu este dovadă de intenție malițioasă.

Poate PROVEN înlocui automat cu https://?

Nu fără destinație factuală. Schimbarea schemei nu garantează că URL-ul rezultat este corect pentru produs.

CSP rezolvă problema?

CSP poate restricționa javascript: și alte forme inline, dar controlul browserului nu înlocuiește igiena datelor din catalog.

Surse și context independent

Sursele de mai jos explică platforma sau standardele relevante. Ele oferă context pentru interpretare, dar nu demonstrează singure că magazinul tău are această problemă.