Magento sikkerhed – beskyt din webshop mod hackerangreb
Hvordan holder du din Magento webshop sikker? Det spørgsmål bør du som webshopejer stille dig selv jævnligt. Magento sikkerhed handler ikke om ét enkelt værktøj, men om faste rutiner: opdateringer, beskyttelse af administrationen, styr på adgange og en backup, du kan stole på. Her gennemgår vi, hvad du konkret kan gøre for at beskytte din Magento 2 webshop mod hackerangreb – og hvad du skal gøre, hvis skaden er sket.
Hvorfor bliver Magento webshops hacket?
Mange tror, at det er en person, der sidder og går efter netop deres webshop. Sådan er det sjældent. Typisk er det robotter, der crawler internettet og leder efter software med kendte sårbarheder. Finder robotten en webshop med et kendt sikkerhedshul, udnyttes hullet automatisk, og der bliver installeret malware i shoppen.
Problemet er, at den slags angreb kan ligge skjult i lang tid, før nogen opdager dem. Derfor er det ikke nok at reagere, når noget går galt – du skal forebygge.
Hold Magento opdateret med de nyeste sikkerhedspatches
Magento opdateres løbende med nye versioner, som blandt andet lukker sårbarheder i softwaren. Når der udsendes en sikkerhedsadvarsel, følger der en sikkerhedspatch eller en ny version med, som lukker hullet. Kører din shop på en gammel version, er den sårbar over for netop de angreb, advarslen beskriver.
- Tag sikkerhedsbeskederne i din Magento-administration alvorligt.
- Få installeret sikkerhedspatches hurtigt, når de udkommer.
- Planlæg løbende opgraderinger, så du ikke ender flere versioner bagud.
- Kører du stadig Magento 1, så bemærk at den version ikke længere modtager officielle sikkerhedsopdateringer – her bør du planlægge en opgradering til Magento 2.
Har du ikke selv en udvikler, kan vi hjælpe med patches og opgraderinger via vores Magento support timebank. Skal shoppen flyttes eller opgraderes til en nyere version, kan du læse mere om vores Magento udvikling.
Beskyt din Magento administration
Administrationen er en af de mest oplagte veje ind i en webshop. Derfor bør du lukke den så godt af som muligt.
Brug en unik admin-URL
Brug ikke standardadressen /admin til din administration. Vælg en unik sti, så adressen ikke kan gættes. Du kan også begrænse adgangen til administrationen til bestemte IP-adresser, fx jeres kontor.
Slå to-faktor-login (2FA) til
I Magento 2.4 er to-faktor-login indbygget og som udgangspunkt slået til for admin-brugere. Ud over brugernavn og adgangskode skal du indtaste en kode fra en app på din smartphone, fx Google Authenticator, som laver en ny kode hvert 30. sekund. Bliver dit brugernavn og din adgangskode opsnappet, kan ingen alligevel logge ind uden den sidste kode. Sørg for, at 2FA er aktiveret for alle admin-brugere – også dem, der kun bruger shoppen en gang imellem.
Hvem har adgang til din webshop og din server?
Når du får installeret nye moduler eller får hjælp til fejlfinding, er det ofte nødvendigt at give udviklere eller bureauer adgang til administrationen eller serveren. Mange glemmer at lukke adgangen igen bagefter. Supporthenvendelser gemmes ofte i ticketsystemer, og bliver sådan et system udsat for et angreb, kan loginoplysninger komme i de forkerte hænder.
- Opret en personlig admin-bruger til hver person i stedet for at dele ét login.
- Giv kun adgang til de dele af administrationen, den enkelte har brug for (rollebaseret adgang).
- Slet eller deaktivér brugere, der ikke længere skal have adgang.
- Skift adgangskoder til administration, FTP/SFTP og database, når eksterne har haft adgang.
- Gennemgå listen over admin-brugere med faste mellemrum og slet brugere, du ikke kender.
Sørg for, at din egen computer er sikker
Den computer, du logger ind i administrationen fra, er også en del af din Magento sikkerhed. Hold styresystem og browser opdateret, og brug et opdateret antivirusprogram, der også beskytter mod malware og phishing. Er din egen maskine inficeret, kan dine adgangskoder blive opsnappet og sendt videre til hackere.
Scan din webshop for malware
Få jævnligt din webshop scannet for kendt malware og virus, fx halvårligt eller årligt – og altid hvis du har mistanke om, at noget er galt. Adobe tilbyder desuden et gratis Security Scan Tool til Magento, som kan overvåge din shop for kendte sikkerhedsproblemer. Bliver der fundet malware, skal den fjernes, og sårbarheden skal lukkes, så angrebet ikke gentager sig.
Har du styr på din backup?
De fleste hostingfirmaer tager daglig backup af filer og database, men den backup ligger ofte på samme platform som selve shoppen. Som ekstra sikkerhed bør du have en kopi liggende et andet sted. Med vores Magento 2 remote backup tages der automatisk daglig backup af både filer og database til en ekstern Storage Box, og historikken gemmes i op til 8 uger.
Vil du helst slippe for selv at tænke på opdateringer, kan vi tage os af sikkerhedsopdateringerne for dig via en Magento support-timebank.
Hvad gør du, hvis din Magento webshop er blevet hacket?
- Få scannet shoppen for malware og virus, og få fjernet det, der bliver fundet.
- Skift alle adgangskoder: administration, FTP/SFTP, database og hostingkonto.
- Gennemgå admin-brugerne under System → Permissions → All Users, og slet brugere, du ikke kender.
- Opdatér Magento og installér de nyeste sikkerhedspatches, så hullet bliver lukket.
- Er filerne blevet overskrevet, så få gendannet en backup fra før angrebet – kontakt dit hostingfirma eller dit bureau.
- Scan shoppen igen bagefter, og hold øje med den i den kommende tid.
Få hjælp til Magento sikkerhed
Er du i tvivl om, hvor sikker din webshop er, eller har du brug for hjælp efter et angreb? Vi hjælper med opdateringer, sikkerhedspatches, gennemgang af adgange og opsætning af backup. Kontakt os, så ser vi på din Magento webshop sammen med dig.