Shopify mağazam herkese açık mı? — public veri yüzeyleri

Shopify · Veri görünürlüğü

Kısaca: Evet — Shopify mağazanız tasarım gereği şaşırtıcı miktarda veriyi herkese açık sunar: tüm ürün kataloğu fiyat ve stok zaman damgalarıyla /products.json'da, mağaza kimliği ve coğrafyanız /meta.json'da, kurulu uygulamalarınız sayfa kaynağında, backend domain'iniz /admin yönlendirmesinde. Bunlar kapatılamaz platform davranışıdır — ama hangi veriyi nereye koyduğunuzu siz kontrol edersiniz.

Shopify'da hangi veriler herkese açık?

Standart bir Shopify mağazasında aşağıdaki adresler girişsiz, API anahtarsız çalışır:

/products.json?limit=250 — tüm katalog: ürün adı, fiyat, karşılaştırmalı fiyat, SKU, varyant, etiket, created_at ve updated_at. Sayfalama ile binlerce ürün çekilir.
/meta.json — mağaza adı, ülke, şehir, para birimi, myshopify.com backend domain'i, yayınlanan ürün/koleksiyon sayısı, gönderim yapılan ülkeler.
/collections.json, /pages.json — koleksiyon ve sayfa içeriklerinin tamamı (yasal metinler dahil).
/admin — 301 yönlendirmesiyle magaza.myshopify.com backend domain'inizi gösterir.
Sayfa kaynağı — cdn.shopify.com/extensions/… adresleri kurulu uygulamalarınızın listesini verir; Shopify.theme tema adınızı ve versiyonunuzu açıklar.

Bu yüzeylerin bir kısmı (/cart.js, arama önerileri) resmi Ajax API olarak belgelenmiştir; /products.json ve /meta.json gibi toplu döküm adresleri ise belgelenmemiş ama platformun kasıtlı servis ettiği legacy yüzeylerdir — Shopify topluluk forumlarında ekipler durumun farkında olduklarını doğrulamıştır.

Bu bir güvenlik açığı mı?

Hayır — teknik olarak bu bir zaafiyet değil, platformun bilinçli tasarımıdır. Shopify bu verileri temalar ve uygulamalar çalışsın diye public sunar; endpoint'leri mağaza bazında kapatmanın yolu yoktur. Bu yüzden uyum raporlarında bu bulgular "açık var" değil, "public yüzey" olarak işaretlenir.

Ancak "açık değil" demek "önemsiz" demek değildir: veri public olduğu için onu kim okur ve ne çıkarır sorusu sizin rekabet pozisyonunuzu ilgilendirir — ve asıl kontrol edebildiğiniz alan da budur.

Rakibiniz bu veriyle ne yapabilir?

Pratik senaryolar:

Fiyat ve katalog zekası: /products.json ile tüm fiyat listeniz, varyantlarınız ve SKU yapınız tek seferde alınır — rakip fiyat takibi manuel gezmeye gerek kalmadan otomatikleşir.
Satış hızı sinyali: bir ürün satıldığında stok güncellenir ve updated_at değişir — saatlik periyodik çekim yapan biri hangi ürünün ne kadar hızlı sattığını yaklaşık olarak okur. best-selling sıralaması da satış sıralamanızı doğrudan verir.
Ürün yaşam döngüsü: created_at alanlarından yeni ürün çıkarma ritminiz ve katalog büyüme hızınız izlenir.
Teknoloji envanteri: sayfa kaynağındaki extensions/ izleri hangi pazarlama, yorum, rıza ve operasyon uygulamalarını kullandığınızı gösterir — teknoloji yığınınız rakibe açıktır.
Phishing yüzeyi: /admin yönlendirmesinden çıkan myshopify.com domain'i hedefli kimlik avı sayfaları için hazır bilgidir.

Kendiniz doğrulayın

Üç komutla kendi mağazanızı test edin:

curl -s "https://magazaniz.com/meta.json" — ülke, para birimi, backend domain ve katalog sayınız döner.

curl -s "https://magazaniz.com/products.json?limit=5" — ürün kayıtlarınız fiyat ve zaman damgalarıyla listelenir.

curl -sI "https://magazaniz.com/admin" | grep -i location — myshopify.com backend adresiniz görünür.

Ayrıca sayfa kaynağını açıp (Ctrl+U) extensions/ araması yapın — kurulu uygulamalarınızı siz de rakip gibi görürsünüz.

Neyi değiştirebilirsiniz, neyi değiştiremezsiniz?

Değiştiremezsiniz: bu endpoint'leri kapatmak mümkün değil — Shopify Plus'ta veya headless kurulumda kısmen devre dışı kalabilirler ama standart mağazada kontrol yoktur.

Değiştirebilirsiniz:

Hassas veriyi ürün alanlarından çıkarın: ürün açıklaması, etiket (tag) ve varyant alanları public JSON'a düşer. Tedarikçi kodu, marj, iç not gibi verileri metafield'larda tutun — metafield'lar bu endpoint'lerde görünmez.
best-selling sıralamasını gizleyin: satış sıralamanızı veren varsayılan koleksiyon sıralamasını tema ayarlarından veya bir uygulamayla değiştirebilirsiniz.
Rıza/izleme tarafını denetleyin: kurulu uygulamalarınız public olduğu için "tracker var, CMP yok" kombinasyonu rapora düşer — pazarlama uygulamaları kuruluysa bir consent çözümünün de gerçekten kurulu olması gerekir.
Bilinçle davranın: fiyat ve katalog verinizin okunabilir olduğunu bilerek fiyatlama ve lansman zamanlaması kararı verin — gizli sandığınız şeyi rakip çoktan not almış olabilir.

Taramada ilgili kontrol: Mağaza meta bilgileri public (TR-META-EXPOSURE) · Kurulu uygulama envanteri (TR-APP-FINGERPRINT) · Ürün kataloğu public JSON (TR-CATALOG-EXPOSURE)
Sitenizde bu durumu teknik olarak ölçeriz — bulgu kanıtıyla rapora düşer.

Sık sorulanlar

products.json'u tamamen kapatabilir miyim?

Standart Shopify'da hayır — endpoint platform tarafından servis edilir. Yapılabilen şey hassas veriyi metafield'lara taşımak ve sıralama/koleksiyon ayarlarıyla sızıntının içeriğini sınırlamaktır.

Rakibim gerçekten bunu kullanıyor olabilir mi?

Veri tek GET isteğiyle alınabildiği için fiyat-takip araçları ve scraping servisleri bunu rutin kullanır. Mağazanız özel olarak hedeflenmese bile toplu taramalara dahil olmanız olağandır.

Bu KVKK veya güvenlik ihlali sayılır mı?

Endpoint'lerin kendisi platform davranışıdır; ancak ürün/sayfa alanlarına müşteri kişisel verisi (adres, not, sipariş bilgisi) yazıldıysa o içerik public olduğu için ayrıca KVKK riski doğar — ürün metinlerinde kişisel veri bulunmamalıdır.

Mağazamda bu durumu nasıl ölçerim?

Ücretsiz taramamız üç kontrolle ölçer: meta.json sızıntısı, kurulu uygulama envanteri (consent boşluğu dahil) ve katalog/backend açıklığı — bulgular kanıtıyla rapora düşer.

Sitenizi ücretsiz test edin Araştırma verisi

Bu sayfa teknik uygulama bilgisidir; sıralama veya AI citation garantisi iddia edilmez.