Verifika b'żewġ fatturi fuq WordPress u PrestaShop: gwida rapida

Il-biċċa l-kbira tas-siti kompromessi li jaslulna għall-assistenza għandhom punt ta' dħul banali: aċċess ta' amministratur protett biss b'password, forsi użata wkoll fuq servizzi oħra. Il-verifika b'żewġ fatturi fuq WordPress u PrestaShop hija l-intervent ta' sigurtà bl-aħjar proporzjon bejn sforz u benefiċċju: tattivaha f'nofstanhar u timblokka l-parti l-kbira tal-attakki fuq il-kontijiet. Ejja naraw kif tagħmilha sew fuq iż-żewġ pjattaformi.

Għaliex il-password waħedha mhix biżżejjed

L-attakki fuq l-aċċessi ta' sit mhumiex xogħol ta' speċjalisti li qed jimmiraw proprju lilek: huma awtomatiċi u jolqtu kullimkien. It-tliet xenarji l-aktar komuni:

• credential stuffing: il-passwords li ħarġu minn ksur ta' servizzi oħra jiġu ppruvati bil-massa fuq il-panels tal-login; jekk tuża l-istess passwords, int espost anke b'password twila;
• brute force: tentattivi ripetuti fuq usernames prevedibbli bħal admin, spiss imqassmin fuq ħafna IPs biex jevitaw l-imblokki;
• phishing: email kredibbli li tieħdok fuq paġna tal-login falza, u l-password tgħaddihielhom int stess.

Il-verifika b'żewġ fatturi żżid element ieħor, ġeneralment kodiċi temporanju ġġenerat minn app fuq it-telefown tiegħek: min jisraq il-password, mingħajr it-telefown tiegħek jibqa' barra. Mhix protezzjoni assoluta, imma tgħolli l-ispiża tal-attakk biżżejjed biex il-bots jgħaddu għall-mira li jmiss.

Kif tattiva l-2FA fuq WordPress

WordPress ma jinkludix il-verifika b'żewġ fatturi fil-core, għalhekk jeħtieġ plugin. L-għażliet huma ta' żewġ familji: il-plugins dedikati biss għall-2FA, ħfief u mmirati, u s-suites tas-sigurtà kompleti li jinkluduha fost funzjonijiet oħra. Jekk diġà għandek suite tas-sigurtà installata, iċċekkja l-ewwel jekk l-2FA hijiex inkluża: aħjar tattivaha hemm milli żżid plugin doppju.

Il-passi li nsegwu aħna fuq is-siti tal-klijenti:

1. Agħżel il-metodu TOTP (il-kodiċijiet temporanji ġġenerati minn app tal-awtentikazzjoni fuq it-telefown): jaħdem mingħajr ma jiddependi minn SMS jew email, li huma l-kanali l-aktar dgħajfin.
2. Attiva l-2FA l-ewwel fuq il-user tiegħek, ivverifika li l-login jaħdem, u wara biss estendiha għall-oħrajn.
3. Agħmilha obbligatorja għall-amministraturi u l-edituri. Ir-rwoli bl-aktar permessi huma dawk li jagħmlu l-akbar ħsara jekk jiġu kompromessi; ħafna plugins jippermettu l-obbligu skont ir-rwol.
4. Iġġenera u ssejvja l-kodiċijiet ta' rkupru f'post sigur, bħal password manager. Huwa l-pass li kulħadd jaqbeż u li jevita l-paniku meta tibdel it-telefown.

Ikkompleta x-xogħol b'żewġ prekawzjonijiet mingħajr spiża: ħassar il-user bl-isem admin jekk għadu jeżisti, u llimita t-tentattivi ta' login falluti, funzjoni inkluża kważi fis-suites tas-sigurtà kollha.

Kif tattiva l-2FA fuq PrestaShop

Fuq PrestaShop id-diskors jirrigwarda l-back office, il-panel minn fejn jiġu ġestiti l-ordnijiet, il-prezzijiet u l-klijenti: aċċess kompromess hemmhekk ifisser data tal-klijenti esposta u, fl-agħar każijiet, kodiċi malizzjuż fil-paġni tal-ħlas. Anke hawn it-triq huma l-moduli: issib uħud dedikati għall-verifika b'żewġ fatturi fuq il-marketplace uffiċjali u fis-suites tas-sigurtà għal PrestaShop. Il-kriterji tal-għażla huma l-istess ta' dejjem: modulu aġġornat reċentement, kompatibbli mal-verżjoni tiegħek, b'reviews u support attivi.

Minbarra l-2FA, fuq il-back office ta' PrestaShop normalment napplikaw tliet protezzjonijiet komplementari:

• tibdil tal-isem tal-folder tal-amministrazzjoni b'isem mhux prevedibbli, biex tneħħi l-panel mill-vista tal-bots li jfittxu l-paths standard;
• limitazzjoni tal-aċċess għall-back office skont l-IP meta l-uffiċċju għandu indirizz fiss, biex hekk il-panel lanqas biss iwieġeb lill-bqija tad-dinja;
• profil ta' impjegat għal kull persuna, bil-permessi meħtieġa biss: il-kont kondiviż bejn tliet kollegi jibqa' komdu sal-jum li fih ikollok bżonn tifhem min għamel xiex.

Ir-regoli li jgħoddu għaż-żewġ pjattaformi

L-2FA tagħti l-massimu tagħha ġo iġjene bażika tal-aċċessi:

• kont għal kull persuna, qatt kredenzjali kondiviżi, u tneħħija immedjata tal-kontijiet ta' ex kollaboraturi u fornituri antiki;
• permessi minimi: min jikteb l-artikli m'għandux bżonn ir-rwol ta' amministratur;
• passwords uniċi ġestiti b'password manager, għax l-2FA hija t-tieni fattur, mhux sostitut tal-ewwel;
• 2FA anke fuq is-servizzi ta' madwar is-sit: hosting, dominju, email. Attakkant li jidħol fil-panel tal-hosting jaqbeż kwalunkwe protezzjoni tas-CMS;
• backups verifikati, għax is-sigurtà mija fil-mija ma teżistix u d-differenza bejn inċident u diżastru jagħmilha r-restore.

Nota organizzattiva tal-aħħar: iddokumenta min għandu aċċess għal xiex. Fis-siti li nieħdu f'idejna, il-mappa tal-aċċessi kważi dejjem tkun nieqsa, u hija l-ewwel ħaġa li nibnu mill-ġdid.

Trid l-aċċessi u s-servers protetti minn min jagħmel dan ta' xogħol?

Naħdmu fuq servers u infrastruttura: hardening ta' WordPress u PrestaShop, ġestjoni tal-aċċessi, firewall, backups ittestjati u monitoraġġ. Jekk m'intix ċert kif inhu protett is-sit tiegħek illum, ibbukkja call b'xejn: nagħmlu l-punt tas-sitwazzjoni fuq l-aċċessi u ngħidulek liema interventi għandek tagħmel mill-ewwel, ibda mill-verifika b'żewġ fatturi.