Sikkerhed · 06
Overblik og kontrol med de scripts, apps og moduler, der kører på jeres site og checkout.
Kontakt osEt moderne site henter kode fra mange steder: tag manager, analyse, chat, anmeldelser, betalingsudbyder, apps og moduler. Hver af dem kører med samme rettigheder som jeres egen kode i kundens browser. Hvis én af dem bliver kompromitteret, kan den læse alt, kunden taster, også på checkout. Det er den type angreb, der kaldes e-skimming eller Magecart. Vi tilbyder kontrol med scripts og plugins, fordi den del af sikkerheden sjældent har en ejer.
Vi laver et inventar over alle scripts, der loader på sitet og især på betalingssiden: hvor de kommer fra, hvem der har lagt dem ind, og hvad de bruges til. Det, der ikke bruges, fjernes. Resten begrænses med Content Security Policy, så browseren kun loader scripts fra godkendte kilder, og med Subresource Integrity, hvor scriptet er statisk. Vi sætter overvågning op, der giver besked, når scripts eller sikkerhedsheadere på checkout ændrer sig.
Bagefter har I et inventar med begrundelse for hvert script, en Content Security Policy, der håndhæves, og en alarm ved ændringer på betalingssiden. Det er også de ting, PCI DSS krav 6.4.3 og 11.6.1 handler om, så I har dokumentationen klar, når indløseren spørger. Selve PCI-vurderingen laver I med jeres indløser eller en QSA; vi leverer det tekniske grundlag.
Vi kortlægger scripts, apps og moduler, hvad de loader, og hvem der ejer dem, med særlig vægt på kurv og checkout.
Ubrugte scripts og moduler fjernes, og resten flyttes, så de kun loader på de sider, hvor de bruges.
Content Security Policy sættes i rapporteringstilstand, justeres efter rapporterne og håndhæves derefter, strammest på checkout.
Overvågning af ændringer i scripts og headere på betalingssiden sættes op, og inventaret afleveres som dokumentation.
Man kan ikke begrænse det, man ikke ved er der. Vi kortlægger scripts via tag manager, tema, apps og moduler og ser, hvad browseren faktisk loader på forside, produktside, kurv og checkout. Hvert script får en ejer og en begrundelse. Det, ingen kan forklare, fjernes.
En CSP, der er for stram, stopper betaling eller tracking. Vi starter i rapporteringstilstand, hvor browseren melder brud uden at blokere, samler rapporterne i fx Report URI og justerer politikken, til den kan håndhæves. Checkout får den strammeste politik, fordi det er dér, det betyder mest.
Et modul fra en ukendt udvikler eller en app, der beder om adgang til alle kundedata, er også en del af jeres forsyningskæde. Vi vurderer, hvem der står bag, om de vedligeholdes, og hvilke rettigheder de har, og foreslår at fjerne eller erstatte dem, der ikke kan forsvares.
Et eksempel fra virkeligheden
En Shopify-shop med mange apps fik et spørgsmål fra indløseren om scriptkontrol på betalingssiden. Inventaret viste over 30 scripts på tværs af sitet, heraf flere fra apps, der var afinstalleret, men hvis kode stadig lå i temaet. Vi fjernede de efterladte scripts, begrænsede tag manageren, satte Content Security Policy op i rapportering og håndhævede den efter tre uger. Inventaret med begrundelser blev sendt til indløseren som dokumentation.
Mere inden for Sikkerhed
O 
M 
N 
O 
P 
H 
Skræddersyet design og udvikling af møbelshop. Markedsføring gennem PPC med 200% vækst.
Se alle cases
All-around design, udvikling, branding, strategi og søgemaskineoptimering
Nyt design og ny teknik: Astro-frontend på Cloudflare, PrestaShop 9.1 bagved og egen checkout.
Avanceret Google Tag Manager setup til konverteringstracking
Et digitalt sats på e-handel, der gav pote. Se vores arbejde for Werenberg, og hvordan vækstkurven blev stejl med en stabil og udviklingsdygtig webshop.
Ofte stillede spørgsmål
Krav 6.4.3 og 11.6.1 i PCI DSS v4.0 har været gældende siden 31. marts 2025 for betalingssider. Bruger I en indlejret betalingsformular fra en betalingsudbyder og udfylder SAQ A, skal I som minimum kunne bekræfte, at siden ikke er sårbar over for scriptangreb, enten med de samme teknikker eller med en skriftlig bekræftelse fra udbyderen. Sender I kunden helt over til udbyderens side, er kravene anderledes. Jeres indløser afgør, hvilket skema I skal bruge.
Som regel hurtigere, fordi oprydningen fjerner scripts, der ikke bruges. Content Security Policy og overvågning koster ikke målbar loadtid.
Nej. Vi er et web-, e-handels- og AI-bureau, der tager sikkerheden i det digitale, vi bygger og drifter, alvorligt: site, shop, hosting, mail, DNS, adgange og backup. Penetrationstest, døgnbemandet overvågning (SOC), forensics og juridisk rådgivning henviser vi til specialister og koordinerer med dem.
Med et sikkerhedstjek af website, webshop, mail og adgange. På en til to uger får I en prioriteret liste over fund med alvor og indsats, og de kritiske kan typisk lukkes med det samme.
Nødvendige cookies får siden til at virke. Statistik og markedsføring sætter vi kun med dit samtykke. Du kan altid ændre valget nederst på siden. Læs cookiepolitikken.
