Magento Security Best Practices: Hur du håller din butik säker

Att säkra din Magento-webbplats bör vara din främsta prioritet när du startar en e-handelsbutik med Magento. Magento har några kraftfulla inbyggda säkerhetsfunktioner, men du måste vidta ytterligare åtgärder för att skydda din webbplats mot attacker eller dataförlust.

Även om det är en kraftfull e-handelsplattform med över 250 000 aktiva webbplatser, medför den också vissa säkerhetsrisker. 87 procent av de Magento-baserade e-handelsbutikerna löper högre risk att utsättas för cyberattacker, enligt en färsk säkerhetsrapport från TechRadar.

Det finns en möjlighet att just din butik är en av dem.

Vad är Magento-säkerhet?

Magento är en av de mest populära e-handelsplattformarna och har inbyggda säkerhetsfunktioner som minskar säkerhetsrisker som dataläckage, informationsstöld och olagliga transaktioner. Se till att du har tillämpat alla moderna säkerhetsrutiner för Magento, inklusive pålitliga teman, tillägg och webbhotell.

Detta visar tydligt att Magento är förstahandsvalet för alla som funderar på att starta en e-handelsbutik under 2020, oavsett storlek eller bakgrund. Magento erbjuder dessutom utmärkta säkerhetsfunktioner direkt från start för de flesta e-handlare.

Säkerhetschecklista för Magento: Hur skyddar du din Magento-butik 2023?

Du kan förebygga (och i viss mån åtgärda) säkerhetsproblem i Magento genom att följa checklistan nedan. Här är några säkerhetstips för Magento som hjälper dig att hålla din e-handelsbutik säker:

Den senaste versionen av Magento bör användas

Ibland får man höra att den senaste versionen av Magento inte är den bästa. Anledningen till detta är att många anser att Magentos senaste version inte är tillräckligt säker. Även om detta stämmer, brukar utvecklarna åtgärda tidigare säkerhetsproblem i nya versioner. Därför är det viktigt att hålla sig uppdaterad med de senaste Magento-uppdateringarna. När en stabil version har släppts bör du testa Magento innan du implementerar den.

Använd tvåfaktorsautentisering (2FA)

Magento 2-plattformen stöder tvåfaktorsautentisering (2FA), vilket lägger till ett extra skyddslager mot obehöriga åtkomstförsök. Fyra olika typer av autentiseringsmetoder används för att ge betrodda enheter åtkomst till Magento 2-administrationsgränssnittet.

Genom att använda säkerhetskoden på din smartphone och lösenordet för din Magento-administratörsinloggning förbättrar tillägget Magento Two Factor Authentication säkerheten vid inloggning till Magento-administratörspanelen. För att få tillgång till Magento 2-administratörspanelen bör endast behöriga användare ha tillgång till koden.

Med vissa Magento-tillägg som stöder tvåfaktorsautentisering (2FA) behöver du inte längre oroa dig för säkerhetsrisker i Magento som har med lösenord att göra.

Anpassa sökvägen till administratörspanelen

Du kommer åt Magentos administratörspanel via my-site.com/admin. Hackare kan enkelt ta sig in på din inloggningssida för Magento och genomföra brute force-attacker.

Du kan förhindra detta genom att ersätta /admin med ett eget val av namn (till exempel “Butiksdörren”). Om hackare lyckas få tag på ditt lösenord hindras de också från att komma åt din inloggningssida för Magento-admin. Genom att redigera filen local.xml i Magento 1 och filen env.php i Magento 2 kan du ändra din Magento-adminväg.

Använd en krypterad anslutning (SSL/HTTPS)

Data som skickas via en okrypterad anslutning, till exempel dina inloggningsuppgifter, riskerar att avlyssnas. Angripare kan komma åt dina inloggningsuppgifter genom att avlyssna trafiken. Magento-anslutningar måste vara säkra för att undvika sådana problem.

Med Magento kan du skapa en säker HTTPS/SSL-adress genom att markera alternativet “Använd säkra webbadresser” i systemkonfigurationsmenyn. Dessutom är detta en viktig del i att se till att din Magento-webbplats uppfyller PCI-standarden för datasäkerhet.

Let’s Encrypt är ett bra ställe att börja på om du vill ha ett SSL-certifikat. Dessutom hjälper det dig att uppfylla PCI-kraven.

Använd säker FTP

Att enkelt gissa eller få tag på FTP-lösenord är ett av de vanligaste sätten att hacka en webbplats.

 SFTP (Secured File Transfer Protocol) använder en privat nyckelfil för att dekryptera och autentisera användare, så du kan förhindra att detta händer dig. På Carmatec finns SFTP-åtkomst redan tillgänglig.

Se till att ha en fungerande reservplan

Att vidta säkerhetsåtgärder för Magento är en bra vana, men en säkerhetskopieringsplan är lika viktig. Säkerhetskopior utanför webbplatsen bör göras varje timme, och det bör även finnas säkerhetskopior som går att ladda ner. Säkerhetskopieringsplanen säkerställer att du inte drabbas av avbrott i tjänsten om din webbplats skulle bli hackad eller krascha av någon anledning.

Säkerhetskopior av din webbplats kan lagras på en extern plats eller skapas via en säkerhetskopieringstjänst online för att förhindra dataförlust. Tack vare säkerhetskopieringen minimeras risken för dataförlust.

Du bör alltid fråga din webbhotellleverantör om de har en säkerhetskopieringsstrategi. Våra säkerhetskopior görs regelbundet och är tillräckliga vid Carmatec.

Indexering av kataloger bör inaktiveras

Du kan förbättra säkerheten i din Magento-butik genom att inaktivera katalogindexering. Genom att inaktivera katalogindexering kan du dölja olika sökvägar där filerna på din domän lagras.

Du kan använda den för att förhindra att cyberbrottslingar får tillgång till kärnfilerna på din Magento-baserade webbplats. De kan dock fortfarande komma åt dem om de känner till den fullständiga sökvägen till dina data.

Var noga med ditt Magento-lösenord

Du behöver ett lösenord för att komma åt din Magento-butik. Det är därför du bör vara mycket noggrann när du väljer lösenord. Skapa ett lösenord som innehåller stora och små bokstäver, siffror och specialtecken som ?, > osv. (Du kan dessutom använda en lösenordshanteringstjänst om du har svårt att komma ihåg komplexa lösenord.) 

Använd dessutom aldrig dina Magento-lösenord för att logga in på någon annan webbplats. För att göra det svårare för hackare att lista ut ditt lösenord bör du använda ett annat lösenord för Magento än för dina övriga applikationer.

Täppa till luckor i e-postsystemet

Med Magento kan användare återställa sina lösenord via en e-postadress som har konfigurerats i förväg. Om din e-postadress skulle bli hackad utsätts hela din Magento-butik för risk. Magento kräver tvåfaktorsautentisering för din e-postadress, och den får inte vara allmänt känd.

Skapa en webbplats med en genomtänkt plan

För e-handelsföretag är delad webbhotell inte ett bra alternativ.

 Delad webbhotell är oftast ett bra alternativ för nystartade Magento-företag, men att satsa på delad webbhotell innebär en säkerhetsrisk för din Magento-butik.

Du kan också överväga dedikerad hosting, men det kanske inte räcker för dina behov eftersom du då är begränsad till en enda server. När trafiken till din Magento-butik plötsligt ökar kraftigt kommer webbplatsen att krascha på grund av brist på resurser.

Du bör istället välja en leverantör av hanterad molnhosting som erbjuder gedigen säkerhet och regelbundna serveruppdateringar.

De där vanliga webbhotellpaketen lovar funktioner som de inte kan leverera (åtminstone inte till låga priser). Du bör undvika sådana paket, eftersom de inte har en aning om säkerhet i Magento.

Förhindra MySQL-injektion

De senaste versionerna och uppdateringarna av Magento erbjuder utmärkt skydd mot MySQL-injektionsattacker, men det är inte alltid optimalt att enbart förlita sig på dem. För att skydda din webbplats och dina kunder rekommenderar vi att du installerar en webbapplikationsbrandvägg, till exempel NAXSI. Det går också att installera säkerhetsuppdateringar som tillhandahålls av de officiella utvecklarna av Magento 2.

Låt göra en säkerhetsgranskning av Magento

Magento-utvecklare behöver inte vara säkerhetsexperter.

 Det finns många som är duktiga på att programmera, men bara ett fåtal vet hur man säkrar Magento-webbplatser. Av den anledningen bör du låta din webbplats granskas en (eller kanske två) gånger om året för att upptäcka säkerhetsbrister. 

Säkerhetsgenomgången av Magento 2 omfattar en kontroll av webbplatsen samt de plugins och tillägg som är installerade på den. Om säkerhetsbrister, buggar eller säkerhetsluckor upptäcks bör säkerhetsuppdateringar för Magento 2 hämtas från ett pålitligt säkerhetsföretag. Om dessa granskningar genomförs på rätt sätt kan de bidra till att ytterligare stärka säkerheten i din Magento-butik.

Ta kontakt med Magento-communityn

Om du behöver hjälp finns Magentos tekniska community alltid där för att hjälpa dig. Om du vill ställa en fråga om säkerhetsfrågor som rör Magento eller dess funktioner kan du söka efter den och lägga upp den. Medlemmarna i Magento Community släpper också olika versioner av Magento, så håll utkik efter dem också.

Lägg till en säkerhetsnyckel i Magentos administratörspanel

Med e-handelsplattformen Magento 2 kan du enkelt lägga till en hemlig nyckel i webbadresser. Dessutom förhindrar nyckeln att obehöriga eller hackare får tillgång till administratörspanelen.

Man kan även ställa in en tidsgräns för inaktivitet på tangentbordet som en säkerhetsåtgärd i Magento 2. När denna tid har gått ut upphör sessionen och administratören får återigen tillgång till adminpanelen. 

Slutsats

Vi lever i en värld där säkerhetsläget ständigt förändras. Det finns ingen garanti för att Magento är helt säkert. Om dessa åtgärder följs minskar dock risken för hackerattacker eller säkerhetsintrång avsevärt. Komma i kontakt med vårt erfarna Magento-supportteam om du har några frågor om den här artikeln. Anlita Magento-utvecklare i Indien för Magento-utvecklingstjänster.