OpenCart-Hellas

[<Marios>]

Καλημέρα σας,

σκέφτηκα εδώ να προτείνουμε κάποια μέτρα που μπορεί να πάρει ο καθένας προκειμένου να προστατέψει όσο μπορεί το eshop που με κόπο δημιούργησε και να μη πέσει θύμα από hackers και bots. Γενικά δεν υπάρχει κάτι το αξιόλογο στο ιντερνετ (απ' όσο είδα) όποτε καλό ειναι να τα συγκεντρώσουμε εδώ. Όποιος θέλει μπορεί να συμπληρώσει.

Κάποια βήματα που προτείνω είναι :
1. να αλλάξει τα δικαιώματα στο config.php τοσο στο admin οσο και στο root με 0444
2. να προστατέυσει με κωδικό τον admin φακελο
3. να αλλάξει το όνομα του admin φακελου αλλά με προσοχή, πρέπει να γινουν αντιστοιχες αλλαγες στα config και στο vqmod εφόσον υπαρχει (θέλει προσοχη , μπορεί να μην δουλέψουν extensions)
4. να βάλει recaptcha αφου το δηλώσει εδώ https://www.google.com/recaptcha/intro/index.html και να χρησιμοποιησει ενα extension ή να βάλει τον κωδικα στις αντιστοιχες σελίδες.
5. να ελέγξει αν τα permissions ειναι σωστα στους φακέλους και στα αρχεία. Ένα script που το κάνει είναι εδω (παρακαλώ συμπληρώστε αν γνωρίζετε κάποιο)
6. να δηλώσει το site στα webmaster tools της google
7. να βάλεi το site στο cloudflare ή σε κάποιο αντιστοιχο cloud
8. να κάνει backup και να μην εμπιστεύεται τα backups του hosting provider. O τοπικός δίσκος ειναι το καλύτερο.
9. να αγοράσει κάποια υπηρεσία firewall για το opencart. Περίπου (15 - 20 ευρώ το μήνα)

[billkou]

Το θεμα του firewall δεν χρειαζεται extension στο επίπεδο του Opencart αλλα στον server.

Μία από τις καλύτερες λύσεις είναι το CSF firewall το οποίο είναι σοβαρό εργαλείο.
Επίσης το fail2ban κάνει δουλειά σε bots/επιθέσεις.

Μια γενικότερη και ασφαλής πρακτική είναι να κρατάει τα plugins ενημερωμένα, και όσο το δυνατόν να έχει λίγα plugins. Και επειδή αυτό είναι πολύ γενικό, ο κανόνας που ακολουθώ είναι πως αν δεν έχω απόλυτη ανάγκη για κάποιο extension και τις λειτουργίες του, δε το βάζω/αγοράζω καν.

Προσωπικά μπλοκάρω όλη την Κίνα, Ρωσία, Ινδία, Πακιστάν, Μπαγκλαντές και άλλες hacker/cracker friendly χώρες απευθείας στο firewall. Όχι ότι είναι πανάκεια αλλά μειώνονται οι προσπάθειες για login attempts.

Το σημαντικό είναι επίσης να έχουμε δυνατά passwords και αν δώσουμε πρόσβαση σε κάποιον για βοήθεια, να αλλάξουμε το password ή/και να απενεργοποιήσουμε το προσωρινό account που φτιάξαμε αποκλειστικά για αυτό το σκοπό.