Советы по безопасности Magento, которые защитят ваш магазин от хакеров

HackRead сообщает, что в 2020 году в ходе атаки скиммера платежей было взломано более 500 сайтов Magento. Каждый интернет-магазин хранит огромное количество данных, включая личную информацию клиентов. Следовательно, чтобы защитить его от утечки, очень важно следить за безопасностью вашего веб-сайта Magento 2. К сожалению, владельцы магазинов Magento 2 часто не обеспечивают безопасность, что делает их сайты электронной коммерции уязвимыми.

Мы подготовили одиннадцать советов, которые помогут вам защитить магазин и данные клиентов от злоумышленников. Тем не менее, если вы не хотите реализовывать их самостоятельно, вы всегда можете обратиться к службам разработки Magento.

Обновите Magento до последней версии

С каждым обновлением Magento выпускает исправления, устраняющие уязвимости предыдущих версий. Идя в ногу с этими исправлениями, вы никогда не останетесь с уязвимостями прошлого сезона.

Обновления Magento часто представляют лучшие и более интуитивно понятные функции. Постоянное обновление вашей платформы гарантирует, что вы всегда будете обеспечивать удобство покупок, так же как и обеспечение чистоты и привлекательности проходов в вашем магазине.

Каждое обновление Magento также имеет тенденцию улучшать производительность, например, более плавную навигацию, более быструю загрузку страниц или лучшую оптимизацию базы данных.

Включить двухфакторную аутентификацию

Короче говоря, включение 2FA в вашем магазине Magento похоже на добавление высокотехнологичной системы сигнализации в и без того безопасное хранилище, гарантирующее, что ваш магазин останется крепостью от нежелательных вторжений.

Представьте себе двухфакторную аутентификацию в качестве надежного помощника для вашего пароля. В то время как пароль иногда может быть угадан, перехвачен или даже утечка, 2FA налетает, требуя второй формы идентификации.

Хакеры часто используют хитрые схемы, чтобы заставить пользователей раскрыть свои пароли. Но с 2FA знание одного только пароля не поможет. Даже если хакер попытается войти в систему с украденными учетными данными, второй шаг аутентификации сведет его с ума. Magento предлагает простые в использовании настройки для 2FA, что делает ее легкой задачей для любого владельца магазина.

Регулярно меняйте пароль

Со временем вы, вероятно, входили в систему с нескольких устройств или, возможно, даже поделились своим паролем с коллегой. Если кто-то подлый украдет ваш пароль, его частое изменение означает, что с ним далеко не уедешь.

И мы все знаем кого-то (или, может быть, это мы), кто везде использует один и тот же пароль или использует самые простые пароли. Лучшие пароли представляют собой случайное сочетание символов — длинные, немного необычные, со смесью верхнего и нижнего регистра, различных символов и цифр, точно так же, как некоторые веб-сайты подталкивают нас проявлять творческий подход и надежность при выборе пароля.

Создайте уникальный внутренний URL-адрес

URL-адрес администратора по умолчанию в Magento — /admin , он открыт для атак методом перебора и его легко догадаться. Отличительный URL-адрес затрудняет ботам и хакерам поиск и доступ к панели администратора. Многие хакерские инструменты ищут стандартные внутренние URL-адреса для использования уязвимостей. Внося изменения, вы убираете свой магазин с их радаров. Чтобы изменить URL-адрес, перейдите в панель администратора: Магазины > Конфигурация > Дополнительно > Администрирование > URL-адрес базы администратора .

Скриншот с официального сайта Mageplaza

Резервное копирование регулярно

Если произойдет кибератака, вместо того, чтобы паниковать или платить выкуп, вы можете просто нажать «Отменить» с последней резервной копией вашего сайта. Звучит отлично? Тогда вам нужно регулярно делать резервные копии. Думайте об этом как о своей цифровой системе безопасности. Вы можете легко получить копию данных вашего сайта с помощью программы FTP. Кроме того, вы можете обратиться к phpMyAdmin для экспорта сохраненной базы данных. Таким образом, вы всегда готовы к быстрому восстановлению.

Использовать брандмауэр

Брандмауэр — это первая линия защиты от вредоносных угроз и несанкционированного доступа. Чтобы защитить свой магазин, вы можете использовать один из двух типов брандмауэра. Защитите свой интернет-магазин от недостатков веб-безопасности, таких как SQLi, XSS, атаки грубой силы, боты, спам, вредоносное ПО, DD0S и т. д., используя WAF (брандмауэр веб-приложений). Системный/сетевой брандмауэр, в свою очередь, запрещает любой публичный доступ, кроме как с вашего веб-сервера.

Красота современных межсетевых экранов заключается в их бдительности. Они постоянно наблюдают, анализируют и реагируют на потенциальные угрозы, гарантируя, что вы всегда будете на шаг впереди тех, кто пытается вас перехитрить. Кроме того, брандмауэры также оснащены средствами аналитики, позволяющими получить представление о шаблонах трафика, ландшафтах угроз и многом другом.

Используйте HTTPS/SSL

Всегда следите за тем, чтобы ваш сайт работал на HTTPS с SSL — это броня, защищающая данные ваших клиентов от посторонних глаз. Небольшие файлы данных, известные как SSL-сертификаты, связывают особенности вашего магазина Magento с ключом безопасности. Протокол Magento HTTPS и замок активируются после их установки на веб-сервере, чтобы обеспечить безопасное соединение между сервером и браузером пользователя.

Знакомый значок в виде замка и префикс «https://» гарантируют посетителям, что их данные в надежных руках. Это признак подлинности в зачастую сомнительном цифровом мире. Шифрование SSL также гарантирует, что данные, такие как данные кредитной карты, адреса и пароли, передаются на закодированном языке.

Кроме того, HTTPS является сдерживающим фактором для фишинговых сайтов. С SSL вы не только защищаете свой веб-сайт, но и гарантируете, что ваши клиенты не попадутся на сомнительных двойников.

Запустите инструмент сканирования Magento

Инструмент Magento Scan Tool всегда на шаг впереди, обнаруживая любые сбои, чтобы вы могли исправить их, прежде чем они перерастут в большую головную боль.

Но вот лучшая часть — этот инструмент не просто просматривает вещи. Это погружение с головой в мельчайшие детали и элементы вашего сайта. При обнаружении уязвимости инструмент предоставляет информацию о ее характере и серьезности. Инструмент доступен бесплатно для продавцов Magento.

Используйте исправления безопасности

Magento часто выпускает обновления безопасности для устранения обнаруженных недостатков и повышения общей безопасности платформы. Чтобы защитить ваш магазин от потенциальных угроз, крайне важно как можно скорее применить эти исправления. Хакеры могут использовать эти уязвимости для получения несанкционированного доступа к вашему веб-сайту и данным клиентов, если вы не сможете немедленно исправить любые недостатки, как только они будут обнаружены.

Большинство исправлений безопасности спроектированы таким образом, чтобы их можно было легко интегрировать, не нарушая работу вашей системы. При наличии правильных процедур их применение не составит труда. Это похоже на замену батареек в пульте дистанционного управления — быстро, легко и необходимо для непрерывной работы.

Используйте расширения безопасности Magento

Magento 2 предлагает несколько расширений, которые могут быть чрезвычайно полезны для обеспечения безопасности вашего веб-сайта Magento. Мы уже упомянули пару из них. Вот несколько других ценных расширений безопасности Magento.

Magento Google ReCAPTCHA

CAPTCHA расшифровывается как полностью автоматизированный общедоступный тест Тьюринга, позволяющий различать компьютеры и людей. По сути, это небольшой умный тест, который прост для людей, но очень сложен для ботов. Красота Google ReCAPTCHA, в частности, заключается в ее эволюции за пределы тех искаженных текстов, которые, скажем прямо, иногда доставляли больше хлопот людям, чем ботам. Вместо этого теперь часто просто требуется, чтобы пользователь поставил галочку в поле «Я не робот».

Интеграция Magento с Google ReCAPTCHA делает игру еще более эффективной. Его адаптивные задачи и усовершенствованный механизм анализа рисков означают, что он может отличить настоящего клиента, пытающегося совершить покупку, от бота, пытающегося причинить вред.

Более того, Google ReCAPTCHA разработан так, чтобы плавно вписаться в дизайн вашего сайта, гарантируя пользователям легкость процесса.

Скриншот с официального сайта Mageplaza

Журнал наблюдения

Основная цель Watchlog — отслеживать и записывать любые отрывочные махинации на вашем сайте. Одной из выдающихся особенностей Watchlog является его способность различать нормальную активность пользователя и потенциально злонамеренное поведение. Допустим, кто-то неоднократно пытается войти в систему с неправильными учетными данными или из подозрительного места. Watchlog не только регистрирует это подозрительное поведение, но и быстро отправляет оповещения, гарантируя, что вы всегда будете в курсе любых проблем с пивоварением.

Кроме того, Watchlog предоставляет подробный обзор всех попыток доступа к бэкэнду. Это означает, что вы можете легко выявить закономерности, отметив, например, необычно большое количество попыток входа в систему в нерабочее время, что указывает на возможную уязвимость.

Для тех, кто углубляется в аналитику и управление сайтом, Watchlog также является золотой жилой. Его подробные журналы могут помочь в устранении неполадок, управлении пользователями и даже улучшении взаимодействия с пользователем. Если в разделе вашего веб-сайта наблюдаются повторяющиеся неудачные попытки доступа, это может указывать на проблему с удобством использования, а не с безопасностью.

Кредит изображения: Adobe

Журнал действий администратора для Magento 2

Журнал действий администратора — это «черный ящик» вашего бэкенда, который с точностью фиксирует каждое действие. В случае сбоя или сбоя вы можете открыть журнал и сыграть роль детектива, прослеживая последовательность событий и определяя, где что-то могло пойти не так.

Это расширение выявляет «что», «кто» и «когда». Кто-то изменил цену на самый продаваемый товар? Или, может быть, изменить настройки важного плагина? Вы не останетесь в неведении с журналом действий администратора. Каждое действие имеет временную метку с подробным описанием того, кто внес изменения и когда они были внесены.

Изображение предоставлено: Амасти

Пакет безопасности для Magento 2

По своей сути Security Suite является воплощением целостной безопасности. Вместо того, чтобы работать с отдельными инструментами, собирая импровизированную защитную сетку, он объединяет все, что вам нужно, в один изящный пакет. В результате вы получаете:

• Полная прозрачность всех действий бэкэнда. Каждое зарегистрированное действие имеет полную информацию, доступную для просмотра;
• Отслеживание текущих сеансов и предыдущих посещений страниц. Если администраторы делают какие-либо неправомерные действия, вы можете отменить изменения;
• Возможность назначать роли определенным менеджерам магазина и регулировать права пользователей с помощью сложных настроек пароля;
• Уведомления, когда поведение при входе из неизвестной геолокации кажется сомнительным;
• Двухэтапная аутентификация. Чтобы произвести сканирование кода безопасности, добавьте Google Authenticator;
• Защита от спама с помощью Google Invisible reCaptcha.

Скриншот сделан на официальном сайте Амасти

Последнее слово

В эпоху развивающихся киберугроз крайне важно оставаться во всеоружии. К счастью, существует множество эффективных практик и инструментов Magento 2, обеспечивающих полную защиту. Надеемся, наше руководство поможет вам определить и использовать наиболее подходящие решения. Вы должны четко понимать одну вещь: вам следует постоянно следить за безопасностью магазина и оперативно принимать меры, если что-то пойдет не так.