文档Commerce管理系统指南

安全扫描

Last update: Fri Jun 20 2025 00:00:00 GMT+0000 (Coordinated Universal Time)

创建对象：

  • 初学者
  • 中级
  • 管理员

Adobe Commerce安全扫描工具可为Adobe Commerce和Magento Open Source站点提供免费的安全监控。 该工具作为基于Web的服务运行，您可以通过位于account.magento.com的Adobe Commerce在线帐户访问它。

安全扫描工具 {width="600" modal="regular"}

NOTE
Adobe免费提供此服务，但商家必须接受相关条款，根据扫描结果和站点配置限制Adobe的责任。

扫描覆盖范围

安全扫描工具可跨HTTP和HTTPS协议运行，以检测恶意软件、识别安全漏洞并帮助您保持存储的安全状态。 该工具适用于所有商家、开发人员和负责站点安全的指定人员。

安全扫描工具提供全面的安全监控功能，帮助您维护安全存储环境：

  • 让insight了解您商店的实时安全状态。
  • 接收基于最佳实践的建议，以帮助解决问题。
  • 安排每周、每天或按需运行安全扫描。
  • 运行21,000多项安全测试，帮助识别潜在的恶意软件。
  • 访问跟踪和监控站点进度的历史安全报告。
  • 访问显示成功和失败检查以及任何建议操作的扫描报告。
NOTE
不能从Adobe Commerce的安全扫描工具扫描中排除特定的安全测试。 但是，如果适用，您可以在中自助忽略失败作为误报。

访问

安全扫描工具维护严格的访问控制以保护您的站点信息。 只有您可以扫描网站，因为该工具要求通过Adobe Commerce帐户验证域所有权。 每个网站都通过唯一的令牌连接到您的帐户，以防止第三方进行未经授权的扫描。

该工具专门针对Adobe Commerce域及其安全漏洞。 虽然您的网络商店可能包含来自其他平台的页面，但安全扫描工具应仅扫描Adobe Commerce生成的内容，以确保获得可靠的结果。 扫描非Adobe Commerce页面可能会产生不可靠的漏洞评估。

NOTE
安全扫描工具使用以下公共IP地址：
code language-text 
52.87.98.44
34.196.167.176
3.218.25.102
将这些IP地址添加到网络防火墙规则中的允许列表，以允许该工具扫描您的站点。 该工具仅向端口80和443发布请求。

运行扫描

扫描过程会针对已知安全问题检查您的站点，并识别可能使存储易受攻击的缺失Adobe Commerce修补程序和更新。

TIP
对于云基础架构项目上的Commerce，请参阅设置安全扫描工具。

要运行扫描，请执行以下操作：

  1. 从Commerce主页登录到您的Commerce/Magento帐户。

  2. 查看并接受使用安全扫描工具的条款。

    1. 在左侧面板中，选择​ Security Scan。
    2. 单击​ Go to Security Scan。
    3. 阅读​ Terms and Conditions。
    4. 单击​ Agree ​继续。

  3. 在​ Monitored Websites ​页面上，单击​ +Add Site。

    如果您有多个具有不同域的站点，请为每个域配置单独的扫描。

    受监视的站点 {width="600" modal="regular"}

  4. 要通过添加确认代码来验证您对网站域的所有权，请执行以下操作之一：

    Commerce店面：

    1. 输入​ Site URL ​和​ Site Name。

    2. 单击​ Generate Confirmation Code。

    3. 单击​ 复制 ​以将确认代码复制到剪贴板。

      生成确认码 {width="400" modal="regular"}

    4. 以具有完全管理员权限的用户身份登录到存储的管理员，并执行以下操作：

      1. 在​ 管理员 ​侧边栏中，转到​ Content > Design>Configuration。

      2. 在列表中找到您的网站，然后单击​ Edit。

      3. 展开​ HTML Head ​部分的 扩展选择器 。

      4. 向下滚动到​ Scripts and Style Sheets ​并单击任何现有代码末尾的文本框。 将确认代码粘贴到文本框中。

        脚本和样式表 {width="600" modal="regular"}

      5. 完成后，单击​ Save Configuration。

    PWA店面：

    1. 输入​ Site URL ​和​ Site Name。

    2. 对于​ Confirmation Code，请选择META Tag选项，然后单击​ Generate Code。

    3. 单击​ Copy ​以将生成的确认代码META标记复制到剪贴板。

      生成确认码 {width="400" modal="regular"}

    4. 转到PWA Studio storefront项目目录并执行以下操作：

      1. 在PWA Studio项目目录下，转到packages > venia-concept > template.html。

      2. 将复制的确认代码（生成的META标记）添加到HTML标题并保存更改。

        复制确认码 {width="600" modal="regular"}

      3. 返回到PWA Studio CLI，然后使用yarn安装项目依赖项并运行项目构建命令。

        code language-sh 
        yarn install &&
yarn build

      4. 在您的云项目 ​中，创建一个pwa文件夹，并复制店面项目的dist文件夹中的内容。

        code language-sh 
        mkdir pwa && cp -r <path to your storefront project>/dist/* pwa

      5. 使用Git CLI工具来暂存、提交这些更改，并将其推送到您的云项目。

        code language-sh 
        git add . &&
git commit -m "Added storefront file bundles" &&
git push origin

        构建过程完成后，更改将部署到您的PWA商店前面。

  5. 返回到Commerce帐户中的​ Security Scan ​页面，然后单击​ Verify Confirmation Code ​以建立域的所有权。

  6. 成功确认后，为以下类型之一配置​ Set Automatic Security Scan ​选项：

    每周扫描（推荐）：

    选择每周进行扫描的​ Week Day、Time ​和​ Time Zone。

    默认情况下，扫描计划从每周的星期六午夜(UTC)开始，并持续到星期日。

    每周扫描 {width="500" modal="regular"}

    每日扫描：

    选择每天进行扫描的​ Time ​和​ Time Zone。

    默认情况下，扫描计划于每天午夜(UTC)开始。

    每日扫描 {width="500" modal="regular"}

  7. 输入要接收已完成扫描和安全更新通知的​ Email Address。

    电子邮件地址 {width="400" modal="regular"}

  8. 完成后，单击​ Submit。

    验证域的所有权后，该站点将显示在Commerce帐户的“受监控网站”列表中。

  9. 如果您有多个网站使用不同的域，请重复此过程为每个网站设置安全扫描。

管理扫描失败

安全扫描工具允许您直接从报告视图管理扫描失败。 您可以将特定的扫描失败标记为误报，并将其从风险分数中排除。

管理扫描失败的好处

管理扫描故障可通过以下方式帮助您维护存储区更准确的安全概述：

  • 减少安全报表中的误报。
  • 关注需要注意的相关安全问题。
  • 保持更清楚地了解您商店的真实安全状态。
  • 无需联系支持人员来查找已知误报。
  • 通过自行管理您已经调查的扫描故障来节省时间。

您可能希望将扫描失败标记为误报的常见情况包括：

  • 应用了扫描工具未检测到的安全修补程序后。
  • 当检测到的问题不适用于您的特定商店配置时。
  • 当您实施了替代安全措施来解决问题时。
  • 当扫描失败基于您特意为业务需求设置的配置时。

忽略扫描失败

要管理已识别为误报的扫描失败，请执行以下步骤：

  1. 从​ Monitored Websites ​页面，单击要管理的站点的​ View Report。

  2. 在报表视图中，找到要标记为误报的失败扫描。

  3. 单击​ Ignore ​查看特定的扫描失败。

    忽略扫描失败 {width="600" modal="regular"}

  4. 单击​ Apply Changes ​保存您的选择。

忽略的扫描失败将移至​ Ignored Results ​部分，并从风险分数中排除。

停止忽略扫描失败

如果需要将以前忽略的扫描故障恢复到活动监视状态，请执行以下步骤：

  1. 在报表视图中，滚动到​ Ignored Results ​部分。

  2. 对于要恢复的扫描失败，单击​ Stop Ignoring。

    取消忽略扫描失败 {width="600" modal="regular"}

  3. 单击​ Apply Changes ​保存您的选择。

扫描失败将移回到​ Failed Scans ​部分，并包含在您的风险分数中。

查看忽略的扫描失败

忽略的结果显示在报告的单独部分中，并且风险分数会自动更新以仅反映活动扫描失败。 在应用更改之前，通过选择多个项目，可以一次管理多个扫描失败。

查看忽略的扫描失败 {width="600" modal="regular"}

recommendation-more-help
d3c62084-5181-43fb-bba6-1feb2fcc3ec1