CÓMO PROTEGER TU TIENDA MAGENTO DE SER HACKEADA

Magento es una de las plataformas de comercio electrónico de código abierto más grandes del mundo, lo que la convierte en una delicia para los piratas informáticos con intenciones maliciosas. Independientemente de la cantidad de trabajo dedicado a proteger esta plataforma, los piratas informáticos seguirán intentando encontrar nuevas formas de evadir las medidas de seguridad.

A pesar de que Magento tiene sus propias funciones de seguridad (y son unas de las mejores), aún debe ser proactivo y tomar medidas preventivas, como auditorías y pruebas de seguridad, para evaluar todas las vulnerabilidades.

Como expertos en Magento, recibimos muchas solicitudes de propietarios de comercio electrónico de Magento que necesitan evitar que sus tiendas sufran futuros ataques de piratería que pongan en peligro los datos de sus usuarios.

Así que esta es la situación: las preocupaciones de seguridad siempre estarán presentes, razón por la cual queremos compartir con usted un conjunto de auditorías y pasos importantes que puede tomar para proteger su tienda en línea de la piratería.

Este artículo enumera las formas en que los propietarios de tiendas, gerentes de marketing, gerentes de comercio electrónico, etc. pueden implementar medidas de seguridad esenciales de Magento.

ELIJA UNA INFRAESTRUCTURA DE ALOJAMIENTO SEGURA

Al elegir un proveedor de alojamiento, asegúrese de que tenga un ciclo de vida de desarrollo de software seguro y que funcione de acuerdo con los estándares de la industria (es decir, las mejores prácticas de seguridad de OWASP).

Si está en el proceso de crear un nuevo sitio web, inícielo a través de HTTPS. Esto cifrará de forma segura su sitio y lo ayudará a obtener una clasificación más alta en Google. Para un sitio web existente, le recomendamos que actualice el sitio para que se ejecute en HTTPS.

ENTORNO SEGURO

Mantenga todo el software actualizado y aplique TODOS los parches de seguridad recomendados. Magento publica regularmente correcciones en forma de parches, por lo que se recomienda verificar si todos los parches más recientes están instalados en su sistema.

Deshabilite FTP y utilice únicamente comunicaciones seguras (SSH/SFTP/HTTPS) para administrar archivos. La razón por la que es recomendable hacer esto es porque el FTP simple transmite datos en texto simple, lo que significa que la información confidencial, como los nombres de usuario y las contraseñas de los usuarios, se puede obtener fácilmente.

Si está utilizando un servidor diferente al servidor web Apache, asegúrese de que todos los archivos y directorios del sistema estén protegidos .

Permita que solo las direcciones IP incluidas en la lista blanca accedan al panel de administración. Si no está seguro de cómo administrar estos permisos, lea esto.

Implemente la autenticación de dos factores para los inicios de sesión de administrador. Esto proporcionará seguridad adicional al requerir un código de acceso adicional que se genera en su teléfono.

Actualice regularmente su software antivirus y use un escáner de malware para proteger la computadora que usa para acceder al panel de administración de Magento.

Además, para garantizar un sistema operativo de servidor seguro, asegúrese de que no se esté ejecutando ningún software innecesario en el servidor.

MAGENTO SEGURO

Para reducir la exposición a secuencias de comandos que podrían intentar ingresar a través de su URL de administrador, use una URL de administrador única que no se pueda adivinar fácilmente.

Utilice una contraseña segura para la cuenta de administrador de Magento. NUNCA debe usar contraseñas simples para el administrador de Magento (fechas de nacimiento, nombres, apellidos, etc.) y aproximadamente una vez al mes, cambie sus contraseñas. Además, no comparta su contraseña con terceros. Si es necesario proporcionar acceso a los desarrolladores, cree un usuario separado para ellos y elimínelo una vez que se haya completado el trabajo.

Verifique a los usuarios administradores regularmente para asegurarse de que solo las personas adecuadas tengan acceso al panel de administración de la tienda. Este puede ser un buen momento para eliminar/borrar usuarios antiguos.

Es crucial verificar el nivel de permisos adecuado para evitar cualquier acceso no solicitado a su comercio electrónico de Magento. Esta comprobación garantiza que a todos los grupos de usuarios se les concedan únicamente los derechos de acceso previstos.

Cumpla con los ajustes de configuración relacionados con la seguridad de Magento para la seguridad del administrador, las opciones de contraseña y CAPTCHA.

Utilice la última versión de Magento para disfrutar de las mejoras de seguridad más recientes. De lo contrario, instale todos los parches de seguridad recomendados por Magento.

Por fin, algunas extensiones de Magento no son necesarias o sus creadores ya no las mantienen y, por lo tanto, tienen vulnerabilidades. Es importante revisar su lista de complementos y verificar si están actualizados. Esto ayuda a eliminar las extensiones abandonadas y desinstalarlas.

MONITOR DE SEÑALES O SÍNTOMAS DE UN SITIO MAGENTO HACKEADO

Indisponibilidad de la tienda web : si su tienda no está disponible constantemente o está bloqueada por el servicio de alojamiento, es posible que haya sido víctima de un ataque de denegación de servicio. Este tipo de ataque perturbará su presencia en línea, pero no amenaza la seguridad de sus datos.

Panel de administración y problemas de contenido : si descubre que hay un nuevo usuario con derechos de administrador que no ha creado, nota cambios realizados en el contenido de su tienda, o tal vez ni siquiera puede iniciar sesión, es posible que esté sufriendo un problema crítico. ataque peligroso a su sitio web y negocio (Intrusión en el panel de administración)

Rendimiento deficiente : el ataque de redirección pirateada tiene como objetivo captar el tráfico de su tienda y exponer a sus clientes a malware, ataques de phishing o spam publicitario. Si nota que su tienda no aparece en los motores de búsqueda o se redirige a páginas no solicitadas, tome medidas, es posible que haya sido pirateado.

Robo de datos denunciados: Has sufrido este ataque si tus clientes denuncian actividades sospechosas con sus cuentas, o si les han robado las credenciales de sus tarjetas de crédito. Estos son ataques basados ​​en correo electrónico con la intención de acceder a datos y robo de identidad.

No es necesario comentar lo mal que esto podría afectar a su sitio de comercio electrónico.

• Revise periódicamente los registros del servidor para detectar cualquier actividad sospechosa.
• Compruebe si se han creado usuarios administradores no autorizados. Puede monitorear el registro de acciones de administración.
• Verifique la integridad de los datos de los archivos en el servidor para evitar la posible instalación de malware.
• Supervise todos los inicios de sesión del sistema (FTP, SFTP, SSH) en busca de actividad, cargas o comandos inesperados

DESARROLLAR UN PLAN DE RECUPERACIÓN

Incluso si ha aplicado medidas de seguridad estrictas, cree un plan de recuperación/continuidad comercial para el peor de los casos. es esencial tener una copia de seguridad de todos los datos de su tienda web. Esto ayudará a restaurar su tienda web en caso de pérdida de datos.

Asegúrese de que haya copias de seguridad existentes de la base de datos y los archivos del servidor en una ubicación externa. Asegúrese de que estas copias de seguridad se realicen correctamente y se puedan restaurar.

En caso de un ataque, por pequeño que sea, restablezca todas las credenciales, incluidas las de la base de datos, el acceso a los archivos, las claves de cifrado de la pasarela de pago, los servicios web y el inicio de sesión del administrador de Magento, FTP, SSH, etc.