Si të mbrosh një PrestaShop nga sulmet më të zakonshme

Një dyqan online tërheq sulme thjesht sepse ekziston: menaxhon pagesa, ruan të dhëna klientësh dhe ka një vlerë ekonomike të menjëhershme për këdo që arrin ta komprometojë. Të mbrosh një PrestaShop nga sulmet më të zakonshme nuk kërkon mjete ekzotike: kërkon metodë në tri fronte, përditësimet, aksesin dhe serverin. Këtu gjen mbrojtjet që konfigurojmë të parat në dyqanet që ndjekim.

Nga vijnë sulmet ndaj PrestaShop

Shumica e sulmeve nuk janë të shënjestruara: janë bot-e që skanojnë mijëra faqe në kërkim të dobësive të njohura, pothuajse gjithmonë brenda moduleve të papërditësuara. Pasi hyjnë, skenarët tipikë janë tre: injektim kodi në faqet e pagesës për të përgjuar të dhënat e kartave (i ashtuquajturi web skimming), dërgim spam-i përmes serverit tënd, ose vjedhje e bazës së të dhënave të klientëve. Pika për t'u kuptuar është se nuk duhet të jesh një dyqan i famshëm për të përfunduar në shënjestër: bot-et nuk zgjedhin, provojnë gjithçka që gjejnë. Një dyqan i vogël, ku askush nuk kontrollon log-et, është madje një shënjestër më e rehatshme se një i madh, sepse një kompromentim mund të kalojë pa u vënë re për muaj të tërë.

Përditësimet: mbrojtja që mbulon më shumë

Pjesa më e madhe e kompromentimeve shfrytëzon dobësi tashmë të njohura dhe tashmë të korrigjuara: dyqani shpohet sepse korrigjimi nuk ishte instaluar. Nga këtu rrjedhin rregullat bazë:

• Përditëso core-in e PrestaShop kur dalin korrigjime sigurie, pa i shtyrë me muaj. Nëse dyqani është shumë i personalizuar, provoje më parë përditësimin në një kopje staging.
• Përditëso modulet, që ndër vite kanë qenë pika më e shpeshtë e hyrjes. Një modul i shkruar keq ekspozon gjithë dyqanin, edhe nëse core-i është në rregull.
• Çinstalo atë që nuk përdor: çdo modul i çaktivizuar, por i pranishëm në server është ende kod i arritshëm. Nëse nuk duhet, duhet hequr, jo vetëm fikur.
• Ndiq buletinet e sigurisë të PrestaShop dhe të prodhuesve të moduleve të tua kryesore, kështu e di kur ka urgjencë.

Nëse ndonjë modul kritik nuk merr më përditësime nga autori, vëre në krye të listës së gjërave për t'u zëvendësuar: është problemi klasik që injorohet derisa paraqet faturën.

Blindimi i back office-it dhe i aksesit

Paneli i administrimit është dera kryesore, dhe duhet trajtuar si e tillë:

• Emër jo i dukshëm i dosjes admin: PrestaShop e riemërton në instalim; kontrollo që me kalimin e kohës askush të mos e ketë thjeshtuar në diçka të parashikueshme.
• Kufizim sipas IP-je ose autentikim shtesë në dosjen e back office-it, nëse ekipi yt lidhet nga vendndodhje fikse: një nivel më shumë që i ndal tentativat automatike që para faqes së login-it.
• Fjalëkalime të forta dhe punonjës me leje minimale: çdo bashkëpunëtor duhet të ketë llogarinë e vet me profilin e përshtatshëm për rolin e tij, dhe llogaritë e ish-bashkëpunëtorëve duhen çaktivizuar menjëherë.
• Modaliteti debug i fikur në prodhim: gabimet e detajuara në ekran i dhurojnë informacione të çmuara atij që sulmon.
• HTTPS në gjithë dyqanin, jo vetëm në checkout.

Janë konfigurime që rregullohen brenda pak orësh dhe e ngrenë ndjeshëm koston e një sulmi.

Serveri bën gjysmën e punës

Një PrestaShop i kuruar mbi një server të lënë pas dore mbetet i ekspozuar. Në nivel infrastrukture, mbrojtjet që i konsiderojmë bazë janë një firewall aplikativ (WAF) përpara dyqanit, që filtron modelet më të zakonshme të sulmit para se të mbërrijnë te PrestaShop; bllokimi automatik i IP-ve që grumbullojnë tentativa të dështuara aksesi; një version PHP ende i mbështetur dhe i përditësuar; dhe izolimi i dyqanit nga faqe të tjera në të njëjtin server, kështu një kompromentim diku tjetër nuk përhapet. Kësaj i shtohet monitorimi: log-e të ruajtura dhe të kontrolluara, njoftime kur skedarët e dyqanit modifikohen jashtë dritareve të mirëmbajtjes. Është lloji i punës që e mbulojmë me shërbimin e serverëve dhe infrastrukturës: për një eCommerce, siguria e serverit dhe ajo e aplikacionit janë i njëjti projekt.

Backup: sigurimi që duhet të funksionojë

Edhe me të gjitha mbrojtjet aktive, duhet një plan për skenarin më të keq. Një backup i dobishëm ka tri karakteristika: është automatik dhe i shpeshtë (për një dyqan, baza e të dhënave duhet ruajtur më shpesh se skedarët), ruhet jashtë serverit të dyqanit, dhe është provuar me një rikthim testi të paktën një herë. Pika e fundit është ajo që pothuajse askush nuk e bën: të zbulosh që backup-i është i dëmtuar gjatë një emergjence do të thotë të mos kesh backup. Nëse dyqani komprometohet, backup-i i pastër plus log-et të lejojnë të kuptosh kur ka ndodhur, të rinisesh nga një kopje e shëndetshme dhe ta mbyllësh të çarën, në vend që të pastrosh verbërisht.

Siguroje dyqanin para se të duhet

Nëse PrestaShop-i yt është online prej vitesh dhe askush nuk ka bërë ndonjëherë një kontroll të plotë sigurie, ky është momenti i duhur: kushton shumë më pak se një kompromentim. Me shërbimin e serverëve dhe infrastrukturës merremi me hardening, firewall, përditësime dhe backup të dyqaneve online. Rezervo një call falas: analizojmë gjendjen e dyqanit tënd dhe të themi ku je i ekspozuar dhe çfarë të rregullosh të parën.