Bezpieczeństwo Magento. Kompletny poradnik, jak zabezpieczyć sklep internetowy przed atakami i wyciekiem danych

Czego dowiesz się z tego artykułu?

• Jak poprawić bezpieczeństwo Magento 2?
• Jakie są typy cyberzagrożeń w e-commerce?
• Jak zabezpieczyć e-commerce przed atakami hakerskimi?
• Jak zapobiegać wyciekom danych w e-commerce?
• Jak powinno wyglądać bezpieczne logowanie do panelu administracyjnego sklepu?
• Jakie procedury bezpieczeństwa warto wdrożyć w e-commerce?

TL;DR – szybki skrót

Podstawowe praktyki bezpieczeństwa Magento:

1. Edukuj zespół – świadomość cyberzagrożeń to pierwsza linia obrony.
2. Skanuj platformę – regularnie sprawdzaj sklep pod kątem złośliwego oprogramowania.
3. Aktualizuj Magento i moduły – nowa wersja = lepsza ochrona.
4. Usuwaj zbędne rozszerzenia i oprogramowanie działające na serwerze – mniej luk, mniej ryzyka.
5. Stosuj WAF (Web Application Firewall) – tarcza przed atakami z sieci.
6. Dodaj CAPTCHA do logowania – zatrzymaj boty, zanim zaczną działać.
7. Twórz, szyfruj i testuj backupy – bezpieczeństwo danych to podstawa.
8. Korzystaj z SSL – szyfruj cały ruch w sklepie.
9. Wymuszaj silne hasła – długie, unikalne i trudne do złamania.
10. Dodaj 2FA (dwuskładnikowe logowanie) – nawet jeśli hasło admina wycieknie, dostęp będzie zabezpieczony.
11. Ogranicz uprawnienia użytkowników – daj dostęp tylko tym, którzy go potrzebują.
12. Zastosuj whitelistę IP dla panelu administratora – dostęp tylko z zaufanych adresów.
13. Zmień domyślny URL logowania do panelu administratora – trudniejszy do odgadnięcia = bezpieczniejszy.
14. Blokuj nadmiar prób logowania – zatrzymaj brute-force, zanim zacznie działać.
15. Zablokuj pliki i foldery Magento (tylko do odczytu) – chroń kod przed modyfikacją.
16. Analizuj logi i kontroluj integralność danych – reaguj, zanim atak się rozwinie.
17. Zaplanuj reagowanie na incydenty – szybka reakcja to mniejsze straty.
18. Traktuj bezpieczeństwo jako proces, nie jednorazowe działanie – i śpij spokojnie.

Cyberzagrożenia w e-commerce – bardziej realne niż Ci się wydaje

Być może myślisz, że temat cyberzagrożeń w e-commerce Cię nie dotyczy, bo przecież hakerzy na cele swoich ataków wybierają wyłącznie rozpoznawalne marki. Wielu właścicieli i managerów sklepów internetowych wpada w pułapkę takiego myślenia. Tym bardziej, że w natłoku codziennych spraw, ASAP-ów, strategii i kampanii do zrealizowania zawsze znajdą się rzeczy pilniejsze. Ale właśnie – pilniejsze. Czy ważniejsze? Zdecydowanie nie. Temat bezpieczeństwa e-commerce powinien być priorytetowy.

To tak, jak z bezpieczeństwem na drodze. Na co dzień raczej nie myślisz o tym, że dziś albo jutro może potrącić Cię samochód. A mimo to, kiedy przechodzisz przez ruchliwą jezdnię, zawsze się rozglądasz. Prawo, lewo, prawo – tak, jak uczą w przedszkolu. Bo zagrożenie istnieje.

Tak samo powinno być w e-commerce. Rozglądaj się. Cyberprzestępcy codziennie skanują setki tysięcy stron w poszukiwaniu luk. Wystarczy jedno niedopatrzenie i dane Twoich klientów będą hulać po darknecie. Dlatego poznaj najczęstsze zagrożenia bezpieczeństwa w e-commerce i przekonaj się, że problem jest bardziej realny niż Ci się wydaje.

Zagrożenia techniczne – luki w oprogramowaniu i ataki systemowe

Jak zabezpieczyć e-commerce przed atakami hakerskimi? Punkt pierwszy: mieć świadomość zagrożeń. Zagrożenia techniczne to jedna z najpoważniejszych kategorii ryzyk w e-commerce – bo uderzają bezpośrednio w fundamenty sklepu internetowego, czyli w kod czy serwer.

Ataki SQL Injection (SQLi)

SQL to jeden z najstarszych języków programowania. Został stworzony w latach 70., ale nadal jest używany do zarządzania bazami danych. Mogą one przechowywać informacje o cenie czy stanach magazynowych, ale też nazwy użytkowników, hasła i numery kart płatniczych. Atak SQL Injection polega na tym, że przestępca wprowadza („wstrzykuje”) złośliwy kod do formularza, który wysyła zapytanie do bazy danych. Takim formularzem może być na przykład strona logowania do sklepu internetowego. Jeśli platforma e-commerce nie przeprowadza prawidłowej walidacji danych wejściowych użytkowników, atakujący – zmieniając logikę zapytania – zmusza system do zwrócenia właściwej wartości i w ten sposób uzyskuje nieautoryzowany dostęp do systemu lub wrażliwych danych (informacje osobowe, maile czy numery kart płatniczych).

Cross-Site Scripting (XSS)

Podobny mechanizm charakteryzuje atak Cross-Site Scripting. W tym przypadku polem działania staje się język skryptowy, najczęściej JavaScript. Przestępcy wykorzystują fakt, że strony internetowe są dziś w większości dynamiczne i interaktywne, a duża część ich logiki działa w przeglądarce użytkownika, a nie na serwerze. Wprowadzają więc własne skrypty poprzez parametry URL lub pola tekstowe witryny, na przykład wyszukiwarki produktów albo dodania recenzji. Jeśli system nie filtruje odpowiednio danych wejściowych z tych pól, przeglądarka bezwiednie wykona złośliwy kod jako część strony, która wydaje się „zaufana”. Skutkiem ataku XSS może być kradzież plików cookies zawierających dane logowania i przejęcie kont (na przykład administratora sklepu), ale też manipulacja treścią witryny: wyświetlanie fałszywych formularzy czy przekierowanie do niebezpiecznych stron.

Web skimming

Web skimming to forma ataku, w której cyberprzestępcy wprowadzają złośliwy kod JavaScript do formularzy występujących na etapie koszyka lub płatności, aby pobrać dane kart kredytowych wpisywane przez użytkowników. Najbardziej znaną grupą odpowiedzialną za tego typu ataki są grupy Magecart, które od kilku lat regularnie atakują platformy e-commerce, zwłaszcza te oparte na Magento, WooCommerce, OpenCart czy PrestaShop.

Remote Code Execution (RCE)

Remote Code Execution to jedno z najpoważniejszych zagrożeń bezpieczeństwa e-commerce. Polega na tym, że przestępca zdalnie uruchamia własne polecenia na atakowanym serwerze. Wykorzystując systemowe luki (na przykład niezabezpieczony upload pliku), „przemyca” do systemu kod, który zostaje potraktowany przez serwer jako część swojej logiki. Konsekwencją udanego ataku RCE w e-commerce może być pełne przejęcie infrastruktury sklepu.

Atak DDoS

DDoS (Distributed Denial of Service) to rodzaj cyberataku, który polega na celowym przeciążeniu serwera, aplikacji lub infrastruktury sieciowej ogromną liczbą żądań, pochodzących zazwyczaj z tysięcy lub milionów zainfekowanych urządzeń (tzw. botnetów). Celem DDoS jest zablokowanie działania sklepu internetowego tak, aby by prawdziwi użytkownicy nie mogli z niego korzystać. Skutki są oczywiste: utrata sprzedaży i negatywny wpływ na wizerunek czy SEO, ale DDoS może nieść także inne konsekwencje – często stanowi „zasłonę dymną” dla innego, poważniejszego ataku, na przykłady próby włamania.

Atak brute-force

Atak brute-force to jedna z najprostszych, ale wciąż bardzo skutecznych metod łamania zabezpieczeń kont, zwłaszcza wtedy, gdy użytkownicy stosują słabe lub popularne hasła. Polega na automatycznym testowaniu ogromnej liczby kombinacji loginów i haseł aż do momentu znalezienia poprawnej – skrypt „zgaduje” hasła, korzystając ze słownika najczęściej używanych fraz albo generując kombinacje losowo. Atak ten może być prowadzony zarówno na konta administratorów sklepu, jak i klientów czy konta w panelu hostingowym.

Session hijacking – przejęcie sesji użytkownika

Session hijacking to atak, w którym cyberprzestępca przejmuje aktywną sesję użytkownika w sklepie internetowym. Każdy klient logujący się do Twojego sklepu otrzymuje od serwera unikalny identyfikator sesji (session ID), który jest przechowywany w pliku cookie lub przekazywany w adresie URL. Przestępca może zdobyć ten identyfikator – na przykład korzystając z błędów w konfiguracji czy przechwytując transmisję danych w niezabezpieczonej sieci Wi-Fi – i podszyć się pod innego użytkownika.

Malware, spyware i ransomware

Malware (z ang. malicious software) to ogólny termin określający wszelkie złośliwe oprogramowanie, które po przedostaniu się do systemu sklepu internetowego może szpiegować, niszczyć dane, blokować dostęp lub kraść wrażliwe informacje. W malware wyróżniamy między innymi:

• spyware, czyli wirusa-szpiega – śledzi działania użytkowników i przekazuje zebrane dane (np. loginy, dane kart, hasła, historię zakupów) do zewnętrznego serwera kontrolowanego przez atakującego;
• i ransomware, czyli jeden z najbardziej destrukcyjnych, a jednocześnie najbardziej zuchwałych ataków. Po infekcji złośliwe oprogramowanie szyfruje pliki w sklepie, uniemożliwiając dostęp do bazy danych, zamówień, CMS-a i całej infrastruktury. Aby odzyskać dostęp, właściciel musi spełnić żądanie opłacenia okupu, najczęściej w kryptowalutach.

Zagrożenia socjotechniczne – edukacja pracowników a bezpieczeństwo sklepu

Najpoważniejsze ataki na sklepy internetowe wykorzystują luki w oprogramowaniu. Takie potencjalnie niebezpieczne miejsca mogą powstać w wyniku błędów w kodzie, ale też niedostatecznej dbałości o kondycję techniczną platformy – braku aktualizacji, nieprawidłowej konfiguracji czy instalowania rozszerzeń z niepewnych źródeł. Dodatkowo słabym punktem każdego systemu są również… ludzie.

Na pewno kojarzysz termin phishing. To jedna z najczęstszych i najskuteczniejszych form cyberataku, która polega na podszywaniu się pod zaufaną instytucję lub osobę (na przykład bank, dostawcę hostingu, firmę kurierską, a nawet współpracownika czy znajomego), w celu wyłudzenia danych logowania, danych kart płatniczych lub innych poufnych informacji. Chyba każdy z nas ma w swoim najbliższym otoczeniu kogoś, kto stał się celem takiego ataku.

W e-commerce częsty jest także spoofing – przestępca podszywa się pod autentyczną osobę lub firmę, najczęściej w wiadomościach e-mail, aby zbudować zaufanie i nakłonić odbiorcę do wykonania przelewu czy podania danych logowania.

Dlaczego o tym piszemy? Ponieważ bezpieczeństwo Magento i każdej innej platformy to nie tylko wynik pracy developerów. To także zabezpieczenie „czynnika ludzkiego”: edukacja pracowników, wdrażanie i aktualizowanie procedur bezpieczeństwa, inwestowanie w sprawdzone, nowoczesne technologie.

OWASP Top 10, czyli 10 najczęstszych e-zagrożeń

O tym, że wiele cyberzagrożeńw ogóle by nie istniało, gdyby użytkownicy nie zaniedbywali podstawowych zasad bezpieczeństwa w e-commerce (i nie tylko), przekonuje zestawienie OWASP Top Ten. OWASP (Open Web Application Security Project) to międzynarodowa organizacja non-profit, która działa na rzecz poprawy bezpieczeństwa aplikacji internetowych. Co kilka lat publikuje raport Top Ten prezentujący 10 najpoważniejszych i najczęstszych cyberzagrożeń.

Organizacja zapowiada, że nowe zestawienie ukaże się jesienią 2025. Raport z 2021 roku obejmuje takie zagrożenia, jak:

1. Broken Access Control – luki w zabezpieczeniach kontroli dostępu 
2. Cryptographic Failures – błędy w szyfrowaniu
3. Injection – wprowadzanie złośliwego kodu do formularzy
4. Insecure Design – błędy na poziomie projektowania aplikacji
5. Security Misconfiguration – nieprawidłowe ustawienia serwera, baz danych, aplikacji, np. otwarte porty, publiczne katalogi
6. Vulnerable and Outdated Components – korzystanie z komponentów (wtyczek, bibliotek) zawierających znane luki bezpieczeństwa, np. przestarzałe wersje Magento
7. Identification and Authentication Failures – błędy w logowaniu i uwierzytelnaniu dostępu
8. Software and Data Integrity Failures – brak mechanizmów potwierdzających integralność kodu lub danych
9. Security Logging and Monitoring Failures – brak procedur bezpiecznego logowania, monitoringu i alertów, co skutkuje opóźnioną reakcją na incydenty
10. Server-Side Request Forgery (SSRF) – atak, w którym aplikacja zostaje wykorzystana do manipulowania serwerem w celu wykonania złośliwych żądań w jej imieniu.

Cyberataki na sklepy internetowe – przykłady

Naruszenia cyberbezpieczeństwa e-commerce najczęściej skutkują wyciekiem danych. W ostatnich latach z takim problemem mierzyło się między innymi Morele, Allegro, x-kom, Deezee czy The North Face. Kwestia tego, jak chronić dane klientów w sklepie internetowym, powinna być więc dla e-commerce’ów priorytetowa. Wycieki danych niosą za sobą długofalowe konsekwencje – utratę zaufania. Według danych amerykańskiej firmy Vercara, 75% konsumentów zrezygnowałoby z korzystania z marki, która niedostatecznie zabezpieczyła dane swoich użytkowników (źródło: rzetelnyregulamin.pl).

Jak zabezpieczyć sklep internetowy? Najlepsze praktyki bezpieczeństwa Magento

Jesteśmy agencją e-commerce, która specjalizuje się we wdrożeniach Magento, więc temat bezpieczeństwa siłą rzeczy również omawiamy w kontekście Magento. Większość z poniższych punktów ma jednak charakter uniwersalny – to podstawowe praktyki bezpieczeństwa, więc można stosować je także w odniesieniu do innych platform. 

Skanowanie w poszukiwaniu złośliwego oprogramowania

Zanim wdrożysz najlepsze praktyki bezpieczeństwa Magento w swoim e-commerce, sprawdź, czy Twoja platforma na pewno jest wolna od malware. W końcu nie ma sensu zakładać krat w oknach, jeśli złodziej już jest w środku, prawda? Użyj w tym celu oficjalnego narzędzia Adobe do wykrywania złośliwego oprogramowania – Magento Security Scan Tool. Możesz przeprowadzić jednorazowe skanowanie, ale też zaplanować je według cyklicznego harmonogramu, na przykład raz w tygodniu, w godzinach, kiedy sklep notuje najmniejszy ruch, aby zmniejszyć obciążenie serwera.

Podstawa bezpieczeństwa Magento: aktualizacje 

Aktualizacje to podstawa ochrony sklepu Magento. Każda z nich zawiera security patches – czyli poprawki łatające wykryte luki. Zarówno inżynierowie Adobe, jak i społeczność Magento nieustannie monitorują system i oficjalne rozszerzenia, szukając obszarów, które mogłyby być podatne na ataki cyberprzestępców. Na przykład upgrade 2.4.8 zawierał łatki zwiększające ochronę platformy przed atakami brute force. Każda kolejna aktualizacja przynosi również ogólne usprawnienia bezpieczeństwa, na przykład związane z logowaniem, autoryzacją czy uprawnieniami użytkowników.

Warto też wiedzieć, że Magento ma ściśle określony cykl życia każdej wersji (EOL). Oznacza to, że po jego zakończeniu poszczególne wersje nie są już oficjalnie wspierane przez Adobe – nie dostają poprawek ani łatek bezpieczeństwa.

Weryfikacja i aktualizacja rozszerzeń Magento

Magento charakteryzuje się modułową budową – dzięki temu można rozbudować jego core o wiele innych funkcjonalności. To oczywiście ogromna zaleta pod względem sprzedaży. Ale z punktu widzenia bezpieczeństwa każdy dodatkowy moduł to kolejny fragment kodu z potencjalną luką. Im więcej rozszerzeń, tym więcej miejsc, które mogą zostać wykorzystane przez cyberprzestępców.

W ramach procedury zabezpieczania Magento zaplanuj cykliczne przeglądy wszystkich zainstalowanych rozszerzeń. Zalecamy:

1. Usunięcie nieużywanych modułów (to ważne: usunięcie, nie dezaktywację).
2. Sprawdzenie pochodzenia każdego rozszerzenia – rekomendujemy stosowanie „oficjalek”, czyli modułów przygotowanych przez Adobe lub renomowane firmy programistyczne.
3. Weryfikację kodu, szczególnie w przypadku rozszerzeń, które zostały zainstalowane dawno temu.
4. Regularną aktualizację modułów.

Eliminacja niepotrzebnego oprogramowania działającego na serwerze

Aby jak najlepiej zabezpieczyć Magento 2, generalne porządki warto zrobić także na serwerze. Im mniej oprogramowania działa w jego tle, tym lepiej – zarówno dla bezpieczeństwa, jak i szybkości, wydajności oraz stabilności platformy e-commerce. Dlatego poproś swojego administratora lub support hostingu o przegląd aktywnych usług i aplikacji, aby zidentyfikować te niepotrzebne, na przykład będące pozostałością po starszych konfiguracjach albo zainstalowane domyślnie. Pod tym względem dodatkowy punkt zyskują hostingi zoptymalizowane pod Magento – firmy specjalizujące się w tym systemie lepiej wiedzą, co można bezpiecznie usunąć z konfiguracji i jak zbudować najbardziej stabilne środowisko.

Stosowanie WAF (Web Application Firewall) i reverse proxy

WAF to specjalny typ zapory sieciowej, który filtruje ruch HTTP/HTTPS, zanim w ogóle dotrze do platformy Magento. Może wykrywać i blokować ataki typu SQL Injection, XSS i inne zagrożenia typowe dla aplikacji internetowych, a także złośliwe boty, czyli automatyczne programy, które skanują platformy e-commerce w poszukiwaniu miejsc podatnych na atak. To ważne, aby się przed nimi zabezpieczyć – ich działanie wpływa nie tylko na bezpieczeństwo, ale też na wydajność platformy, bo znacznie obciąża serwer. 

Dobry wirefall aplikacji webowych (np. Cloudflare, Sucuri, ModSecurity) stanowi pierwszą linię obrony e-commerce. Innym zabezpieczeniem jest reverse proxy – serwer pośredniczący. To dodatkowa warstwa ochrony między użytkownikami a serwerem, która przejmuje żądania HTTP/S, filtruje je, modyfikuje i cache’uje, aby zmniejszyć obciążenie backendu – i dopiero wtedy przekazuje dalej. 

Stosowanie CAPTCHA

CAPTCHA to zabezpieczenie, które służy do odróżniania botów od realnych użytkowników. I, uwaga, teraz ciekawostka: termin CAPTCHA to akronim rozwijany jako Completely Automated Public Turing test to tell Computers and Humans Apart. Na pewno wiesz, o co chodzi – CAPTCHA to te kafelki z autobusami, schodami albo sygnalizacją świetlną, które trzeba zaznaczyć, aby móc przesłać jakiś formularz. Najbardziej znanym rozwiązaniem tego typu jest Google reCAPTCHA.

Jak CAPTCHA zabezpiecza sklep Magento? Chroni między innymi przed:

• Brute-force i łamaniem haseł – utrudnia botom testowanie wielu kombinacji loginu i hasła w krótkim czasie.
• Credential stuffing – to atak polegający na wykorzystywaniu wyciekłych danych logowania z innych serwisów. Boty automatycznie testują miliony takich kombinacji a CAPTCHA skutecznie je spowalnia.
• Spamem i nadużyciem formularzy.
• Atakami DDoS na formularze – boty mogą zalewać sklep tysiącami żądań wysyłanych przez formularze (np. logowania czy kontaktowe), przeciążając serwer. CAPTCHA ogranicza możliwość ich masowego wysyłania.

W Magento można skonfigurować CAPTCHA osobno dla różnych formularzy, włączając je tam, gdzie naprawdę ma to sens, na przykład na stronie logowania czy kontaktu.

‼️Obowiązkowo włącz reCAPTCHA w logowaniu dla adminów. Zamiast standardowej wersji zalecamy stosowanie „Invisible reCAPTCHA”, która nie wyświetla za każdym razem obrazków, a działa „w tle” i reaguje tylko przy podejrzanej aktywności.

Solidny system kopii zapasowych

Backup sklepu internetowego jest jak wehikuł czasu. Jeśli coś pójdzie nie tak – a, powiedzmy szczerze, pójść może wiele: pożar w serwerowni, błędy w kodzie, atak ransomware, nieudana aktualizacja – można wrócić do punktu sprzed katastrofy i odzyskać kontrolę nad sytuacją. Na pytanie, jak zabezpieczyć sklep internetowy, odpowiadamy zatem: mieć solidny system kopii zapasowych.

Dostawca Twojego hostingu z pewnością oferuje tworzenie backupów – i warto z tej opcji skorzystać. Solidne firmy zazwyczaj wykonują kopie zapasowe plików statycznych co 12–24 godziny i przechowują 2–3 wersje backupów, które można łatwo przywrócić w razie awarii. Regularnie tworzą też backupy baz danych. Zwróć jednak uwagę na dywersyfikację lokalizacji – kopia zapasowa nie powinna być przechowywana w tej samej serwerowni, co pliki główne.

Nie polegaj jednak wyłącznie na backupach od hostingu. Stwórz własny system – wiadomo, przezorny zawsze ubezpieczony. Optymalny model to 3 oddzielne, niezależne od siebie lokalizacje:

• chmura firmy hostingowej – jako kopia podstawowa,
• dodatkowy, własny backup w zewnętrznej chmurze (np. Google Drive, AWS S3, Dropbox, Wasabi), tworzony automatycznie o stałych porach,
• lokalna kopia zapasowa – zapis danych na fizycznym dysku (szyfrowanym!) w dedykowanej maszynie lub na serwerze NAS.

Dzięki takiej strukturze nawet w razie poważnego incydentu będziesz w stanie szybko przywrócić sklep do działania – bez przestojów w sprzedaży, strat i ogromu nerwów.

Testowanie i szyfrowanie backupów

Ale to jeszcze nie koniec tematu backupów. Mieć kopię zapasową to dopiero połowa sukcesu – trzeba ją jeszcze móc bezpiecznie i skutecznie odzyskać. Dlatego regularnie (na przykład raz w miesiącu) testuj przywracanie backupów w środowisku testowym staging. Dzięki temu upewnisz się, że wszystko działa tak, jak należy, i zidentyfikujesz potencjalne błędy, zanim zrobi to awaria. A przy okazji zweryfikujesz, ile czasu zajmuje odzyskiwanie danych.

Pamiętaj też o szyfrowaniu backupów i zabezpieczaniu ich hasłem. Kopie zapasowe będą zawierać dane klientów, zamówienia, loginy i inne wrażliwe informacje. Dlatego zadbaj, aby:

• backupy w chmurze i na dyskach lokalnych były zaszyfrowane,
• dostęp do nich był chroniony silnym hasłem lub kluczem SSH,
• dostęp miały tylko wyznaczone osoby (zasada ograniczonego zaufania).

Szyfrowane połączenia – certyfikat SSL

Certyfikat SSL (Secure Sockets Layer) to technologia, która tworzy zaszyfrowane połączenie między przeglądarką użytkownika a serwerem, uniemożliwiając przechwycenie wrażliwych danych (hasła, dane karty) przez osoby trzecie.

Co daje certyfikat SSL?

• Twój sklep internetowy korzysta z bezpiecznego protokołu HTTPS zamiast niezabezpieczonego HTTP.
• W przeglądarce pojawia się ikona kłódki – to sygnał dla klientów, że mogą Ci zaufać.
• Pomaga spełniać wymogi RODO i standardy bezpieczeństwa (np. PCI-DSS dla płatności kartą).
• Ma pozytywny wpływ na pozycjonowanie SEO – bo Google premiuje bezpieczne strony.

Aby wdrożyć certyfikat SSL, potrzebujesz:

• Certyfikatu serwera – otrzymasz go od urzędu certyfikacji (CA), po utworzeniu tzw. CSR (Certificate Signing Request),
• Certyfikatu pośredniego – który pozwala przeglądarkom i innym urządzeniom rozpoznać, że Twój certyfikat pochodzi od zaufanego źródła,
• Klucza prywatnego – generowanego przy tworzeniu CSR; służy do deszyfrowania danych po stronie serwera.

Wymuszanie silnych haseł

Nawet najlepszy firewall nie pomoże, jeśli konto superadministratora Twojego e-commerce chroni hasło „qwerty”. Stosowanie silnych kombinacji i ich regularna zmiana to jedna z najprostszych i najskuteczniejszych metod ochrony sklepu Magento.

Jakie to jest „silne hasło”?

• Wykorzystuje przypadkowy ciąg znaków – kombinację małych i dużych liter, cyfr oraz znaków specjalnych, która jest trudna albo niemożliwa do odgadnięcia,
• nie nawiązuje do personalnych i ogólnodostępnych informacji (imię, rok urodzenia, nazwa firmy),
• ma odpowiednią długość – minimum 12–14 znaków, a najlepiej ok. 20,
• jest regularnie zmieniane, na przykład co 90 dni.

W Magento można włączyć opcję wymuszania na administratorach stosowania silnych haseł, ustawiając minimalną liczbę znaków, wymóg użycia cyfr i znaków specjalnych czy okres ważności używanej kombinacji.

Stosowanie uwierzytelniania dwuskładnikowego w e-commerce

Dobrą praktyką zwiększania bezpieczeństwa Magento jest zabezpieczenie kont administratorów i użytkowników panelu uwierzytelnianiem dwuskładnikowym (two-factor authentication, 2FA). Jak działa 2FA? Aby zalogować się do konta, trzeba podać hasło i drugi składnik: kod SMS, kod z innego maila albo z aplikacji typu Google Authenticator. To prosta, a jednocześnie skuteczna metoda zabezpieczania dostępu do panelu platformy e-commerce.

Wskazówka. Zadbaj o backup! Po włączeniu 2FA Magento umożliwia wygenerowanie tzw. backup codes. Zapisz je w bezpiecznym miejscu – zaszyfrowanym pliku, menedżerze haseł, a najlepiej offline: na kartce umieszczonej w sejfie. Dzięki temu nie stracisz dostępu do konta, jeśli na przykład zgubisz telefon.

Zarządzanie uprawnieniami użytkowników Magento

Najsłabszym punktem zabezpieczeń Magento są zawsze… ludzie. Nawet ograniczony dostęp do panelu stwarza użytkownikom z niekoniecznie czystymi intencjami ogromne możliwości: wyciek danych kart płatniczych, przejęcie pełnej kontroli nad sklepem, wstrzyknięcie złośliwego kodu – a to tylko kilka z potencjalnych konsekwencji.

Głównym problemem są zbyt szerokie uprawnienia. Nagminnie zdarza się, że właściciele sklepów nie wyłączają kont osób, które już nie pracują w firmie. Albo które kiedyś otrzymały dostęp, żeby wykonać jedno zadanie – i tak już zostało. Dlatego w ramach zabezpieczania Magento:

1. Sprawdź listę użytkowników – czy rozpoznajesz wszystkie konta? Jeśli nie, dezaktywuj je od razu.
2. Sprawdź zakres uprawnień – czy każdy ma dostęp tylko do tego, co faktycznie jest mu potrzebne? Poświęć kilka minut, aby przejrzeć listę użytkowników i zawęzić ich uprawnienia do niezbędnego minimum.

Dodawanie IP administratorów do whitelist

Whitelist – czyli biała lista adresów IP – to sposób na ograniczenie dostępu do określonych części sklepu (np. panelu administracyjnego Magento) tylko dla wybranych urządzeń lub lokalizacji. Dzięki temu:

• Nawet jeśli ktoś pozna login i hasło admina, nie zaloguje się z nieautoryzowanego IP.
• Ograniczysz dostęp do panelu tylko z biura lub wybranych komputerów.

Ale uwaga: whitelistowanie ma sens tylko wtedy, gdy używasz stałego (niezmiennego) adresu IP. Jeśli Twój adres IP się zmienia (masz tzw. dynamiczne IP), możesz przypadkiem zablokować dostęp do własnego sklepu.

Aby wdrożyć w sklepie Magento opcję dodawania IP administratorów do whitelist, trzeba zainstalować dodatkowy moduł bezpieczeństwa umożliwiający zarządzanie listą IP albo odpowiednio skonfigurować serwer (zalecane).

Niestandardowy adres URL dla admina

Magento oferuje jeszcze jedną funkcję zwiększania bezpieczeństwa sklepu internetowego – zmianę domyślnego adresu URL panelu administracyjnego. Domyślny adres to pierwszy punkt zaczepienia dla automatycznych botów i skryptów stosowanych przez hakerów – dlatego jego zmiana znacząco ogranicza widoczność Twojego panelu dla osób postronnych. Możesz zmienić końcówkę URL, tworząc niestandardową ścieżkę (np. sklep.pl/moj-p4n3l), przenieść panel admina na zupełnie inną subdomenę (panel123.sklep.pl) albo połączyć obie te metody (panel-secure.sklep.pl/zarzadzaj123/).

Praktyczne wskazówki:

• Nie używaj oczywistych nazw jak admin, backend, panel, secureadmin, storeadmin – stanowią pierwszy cel skanowania (tak, nasze przykłady powyżej nie są zbyt dobre!).
• Unikaj nazw powiązanych z marką (np. twojsklepadmin) – są łatwe do odgadnięcia.
• Wybierz coś losowego i unikalnego, np. d4sh-panel991.
• Zapisz nowy adres URL w bezpiecznym miejscu, na przykład menedżerze haseł lub zaszyfrowanym pliku offline.
• Jeśli korzystasz z reverse proxy (np. Cloudflare) – pamiętaj o odpowiednim przekierowaniu nowego adresu.

Ograniczenie prób logowania

Zmiana URL panelu administratora warto połączyć z CAPTCHA oraz ograniczeniem prób logowania. Bez żadnego ograniczenia boty mogą przez wiele godzin próbować zgadywać dane logowania do Twojego panelu. Wprowadzenie limitu – na przykład 5 prób w ciągu 10 minut – skutecznie to uniemożliwia i odcina napastnika już na wczesnym etapie.

Pliki i foldery core Magento tylko do odczytu

Poprawne uprawnienia do plików to jedna z najprostszych i najskuteczniejszych metod ochrony sklepu Magento przed atakami. Aby zainfekować sklep złośliwym kodem, hakerzy muszą zmienić pliki systemowe. Jeśli je zabezpieczysz, umożliwiając ich modyfikację wyłącznie przez wybraną grupę osób, znacznie utrudnisz przestępcom działanie.

Systemy analizy logów i kontroli integralności danych

Najlepsze praktyki bezpieczeństwa Magento obejmują także regularną kontrolę tego, co dzieje się w systemie. Warto tutaj postawić na automatyzację i wdrożyć automatyczny system analizy logów aktywności – czyli zapisu zdarzeń, jakie zachodzą na platformie, takich jak logowanie, zmiana konfiguracji czy wystąpienie błędu. Narzędzie, które umożliwia taką analizę, to na przykład OpenWebAnalytics.

Częścią ochrony sklepu internetowego jest także kontrola integralności danych Magento – sprawdzanie, czy krytyczne dla systemu pliki i foldery nie zostały zmodyfikowane, uszkodzone lub usunięte. Narzędzia takie jak Tripwire, Ossec czy AIDE wykrywają nieautoryzowane zmiany i wysyłają ostrzeżenia o potencjalnym niebezpieczeństwie – jak system alarmowy.

Plan reagowania na incydenty

W amerykańskich filmach akcji zawsze jest ten jeden bohater, który w sytuacji największego zagrożenia bierze sprawy w swoje ręce – wyłącza emocje, na szybko tworzy plan działania i w efekcie ratuje świat. W filmie pod tytułem „Bezpieczeństwo Magento” takim bohaterem staje się plan reagowania na incydenty (IRP, incident response plan). Dzięki niemu każda osoba w firmie odpowiedzialna za bezpieczeństwo wie, co ma robić, aby jak najszybciej naprawić sytuację.

IRP powinien jasno określać:

• kto odpowiada za reakcję na zagrożenia,
• jakie kroki należy podjąć w przypadku wykrycia ataku,
• jak komunikować się wewnętrznie oraz – w razie potrzeby – z klientami i partnerami,
• jakie są procedury tworzenia kopii zapasowych, odcięcia dostępu do panelu administracyjnego, przywracania danych i przeprowadzania audytu po incydencie,
• jak zgłosić incydent do odpowiednich służb.

Edukacja zespołu i procedury bezpieczeństwa

W cyberbezpieczeństwie e-commerce równie ważne jak zabezpieczenia systemowe, jest odpowiednie przygotowanie zespołu. Twoi współpracownicy muszą być świadomi zagrożeń – to absolutna podstawa. Muszą wiedzieć, jak rozpoznać phishing, fałszywego maila czy podejrzany link albo sytuację, w której ktoś nakłania ich do przekazania wrażliwych informacji. Powinni także zdawać sobie sprawę, jak ważne jest przestrzeganie procedur bezpieczeństwa, na przykład stosowanie silnych haseł czy korzystanie z zaufanej sieci. Wiedza i świadomość to pierwsza linia obrony – pozwalają zniwelować zagrożenie, zanim w ogóle na dobre zaistnieje.

---

Kiedy stewardessa przedstawia pasażerom samolotu procedury bezpieczeństwa, instruując, jak zapiąć pasy i gdzie znajdą się wyjścia awaryjne, nie robi tego po to, aby wzbudzić w nich strach. Przeciwnie – to raczej sposób na powiedzenie „możecie być spokojni, w razie czego wiemy, co robić”.

Z cyberbezpieczeństwem e-commerce jest podobnie. Zagrożenia istnieją. Wiele z nich można jednak przewidzieć i skutecznie im zapobiegać. I zdecydowanie nie warto odkładać tego na mityczne „później”. Bezpieczeństwo Magento jest sumą świadomych decyzji, dobrych praktyk i ciągłego czuwania. Jeśli czujesz, że w swoim e-commerce masz pod tym względem wiele do zrobienia – czas na działanie jest właśnie teraz.

Jesteśmy agencją e-commerce, która na co dzień wspiera takie marki, jak Martes Sport, Eurofirany czy Avionaut. Sprawdź naszą ofertę utrzymania Magento, migracji i optymalizacji lub przejęcia projektu – i zaplanujmy, jak możemy pomóc rozwijać Twój projekt.