Ασφάλεια admin στο Magento: θωράκιση χωρίς να χαλάσει το checkout
Οι περισσότερες παραβιάσεις σε Magento ξεκινούν από το admin: κωδικός που μαντεύτηκε ή χρησιμοποιείται και αλλού, παλιός λογαριασμός που δεν διαγράφηκε, extension με δικό του admin route. Η θωράκιση του backend είναι φθηνή και κυρίως θέμα ρυθμίσεων. Ο κανόνας που αφορά τον τζίρο: κάθε αλλαγή κλείνει με μια πραγματική παραγγελία από το κατάστημα.
Μετακινήστε και περιφράξτε το admin
Αλλάξτε τη διαδρομή του admin από `/admin` με `bin/magento setup:config:set --backend-frontname=<κάτι>` και κρατήστε την εκτός robots.txt και δημόσιων οδηγών. Δεν σταματά στοχευμένη επίθεση, αλλά σας βγάζει από τα μαζικά scans που δοκιμάζουν `/admin` σε κάθε Magento.
Αν η ομάδα δουλεύει από σταθερές IP ή VPN, επιτρέψτε μόνο αυτές στη διαδρομή του admin, σε nginx ή Cloudflare. Βάλτε τον κανόνα στον web server και όχι σε extension του Magento, ώστε να ισχύει ακόμη κι όταν το ίδιο το Magento έχει πρόβλημα.
Έλεγχος ταυτότητας δύο παραγόντων
Το Magento 2.4 έχει το module `Magento_TwoFactorAuth`, ενεργό από προεπιλογή. Κρατήστε το ανοιχτό, με Google Authenticator ή κλειδί υλικού, και μην το απενεργοποιείτε στην παραγωγή επειδή ενοχλεί στο staging: για έναν χρήστη υπάρχει το `bin/magento security:tfa:reset`.
Πολλά παραβιασμένα καταστήματα είχαν κλείσει το 2FA σε κάποια αναβάθμιση και δεν το ξανάνοιξαν ποτέ. Ελέγξτε το με `bin/magento module:status Magento_TwoFactorAuth` μετά από κάθε release.
Λογαριασμοί, ρόλοι και sessions
Κάθε άτομο με δικό του χρήστη admin, διαγραφή όσων φεύγουν την τελευταία τους μέρα, και ρόλοι: όποιος γράφει περιεχόμενο δεν χρειάζεται System → Configuration ή Payment Methods. Ξαναδείτε τη λίστα χρηστών κάθε τρίμηνο.
Ρυθμίστε στο Stores → Configuration → Advanced → Admin → Security τη διάρκεια session, το κλείδωμα μετά από αποτυχημένες συνδέσεις, τη λήξη κωδικών και το «Add Secret Key to URLs». Καταγράψτε ποιος άλλαξε ρυθμίσεις πληρωμών με το admin action log (Adobe Commerce) ή με extension που κρατά ιστορικό ρυθμίσεων.
Patches, extensions και ακεραιότητα αρχείων
Περάστε τα security patches της Adobe μέσα σε λίγες μέρες, όχι στην επόμενη αναβάθμιση, και αφαιρέστε extensions που δεν χρησιμοποιείτε: κώδικας με admin controller παραμένει επιφάνεια επίθεσης. Ο οδηγός για τα security patches εξηγεί πώς να τα δοκιμάζετε.
Παρακολουθείτε νέα ή αλλαγμένα αρχεία σε `pub/`, `app/code` και τους πίνακες με CMS blocks και ρυθμίσεις (`core_config_data`). Εκεί κρύβονται συνήθως οι skimmers καρτών· δείτε το Magecart skimming.
Αποδείξτε ότι το checkout δουλεύει
Η θωράκιση αλλάζει headers, κανόνες IP, cookies και cache. Οποιοδήποτε από αυτά μπορεί να μπλοκάρει το callback της τράπεζας, το iframe πληρωμής ή το ίδιο το checkout. Μετά από κάθε αλλαγή κάντε δοκιμαστική παραγγελία, ή αφήστε ένα monitor να το κάνει κάθε ώρα.
Τρέξτε το δωρεάν τεστ checkout για Magento μετά από κάθε αλλαγή ασφαλείας: περνά προϊόν, καλάθι, αποστολή και πληρωμή σε πραγματικό browser και δείχνει το βήμα όπου σταματά.
Συχνές ερωτήσεις
Αρκεί να αλλάξω το URL του Magento admin;
Όχι. Κόβει τα αυτόματα scans, αλλά χρειάζεστε και 2FA, ισχυρούς μοναδικούς κωδικούς, περιορισμό IP στο admin και γρήγορα security patches.
Μπορώ να απενεργοποιήσω το 2FA του Magento;
Μπορείτε, αλλά δεν πρέπει στην παραγωγή. Για έναν χρήστη χρησιμοποιήστε το bin/magento security:tfa:reset αντί να κλείσετε το module.
Μπορεί η θωράκιση να χαλάσει το checkout;
Ναι. Αυστηρότερα headers, κανόνες firewall ή ρυθμίσεις cookies μπορούν να μπλοκάρουν iframes και callbacks πληρωμών. Κάντε πραγματικό τεστ checkout μετά από κάθε αλλαγή.