Sklep na PrestaShop, jak nie oddać napastnikowi danych klientów

Sklep internetowy różni się od zwykłej strony jedną, kluczową rzeczą: przechodzą przez niego pieniądze i dane klientów. To czyni go dużo bardziej atrakcyjnym celem. Napastnik, który przejmie zwykłą wizytówkę, doda spam. Ten, który przejmie sklep, może po cichu przechwytywać dane kart płatniczych i robić to tygodniami, zanim ktokolwiek się zorientuje.

PrestaShop to solidny, popularny w Polsce silnik sklepu. Jak każdy, wymaga jednak świadomej opieki. Oto, na co zwrócić uwagę.

Najgroźniejszy scenariusz: cichy skimmer

Najbardziej podstępny atak na sklepy to tzw. skimmer, malutki fragment złośliwego kodu wstrzyknięty na stronę płatności. Nie psuje sklepu, nie wyświetla żadnego komunikatu. Po prostu kopiuje dane karty, które klient wpisuje przy zakupie, i wysyła je napastnikowi. Sklep działa normalnie, zamówienia przychodzą, a w tle wycieka najbardziej wrażliwa rzecz, jaką masz.

Dlatego przy sklepie nie wystarczy pytanie „czy strona działa". Trzeba pilnować, czy nikt nie podmienił kodu, zwłaszcza na stronach koszyka i płatności.

Podstawy, które zamykają większość drzwi

Aktualizuj PrestaShop i moduły. Starsze wersje mają publicznie znane luki. Szczególnie pilnuj modułów od zewnętrznych dostawców to najczęstsza droga wejścia.
Usuń nieużywane moduły i motywy. Każdy zbędny dodatek to powierzchnia ataku. Zwłaszcza darmowe moduły z niepewnych źródeł potrafią zawierać ukryty kod (piszemy o tym osobno w wpisie o pirackich dodatkach).
Zmień domyślny adres panelu administracyjnego. PrestaShop pozwala nadać folderowi administracyjnemu losową nazwę, wykorzystaj to. Boty atakujące /admin odbiją się od ściany.
Silne, unikalne hasła i osobne konta dla każdej osoby z dostępem do zaplecza. Włącz limity nieudanych logowań.

Płatności zostaw profesjonalistom

Najbezpieczniejszy sklep to taki, który nie przetwarza danych kart u siebie. Korzystaj z renomowanych bramek płatności (PayU, Przelewy24, Stripe, BLIK), gdzie dane karty wpisywane są po stronie operatora, a nie na Twoim serwerze. Wtedy nawet włamanie na sklep nie daje dostępu do numerów kart.

Upewnij się też, że cały sklep działa po HTTPS, nie tylko strona płatności, ale każda podstrona. To dziś absolutne minimum i wymóg zaufania klientów.

Kopia zapasowa = Twój plan B

Sklep zmienia się codziennie: nowe zamówienia, klienci, stany magazynowe. Dlatego backup sklepu jest ważniejszy niż zwykłej strony i powinien być częsty oraz przechowywany poza serwerem. W razie ataku albo awarii to jedyna rzecz, która pozwoli wrócić do działania bez utraty danych.

Sklep to nie „ustaw i zapomnij"

Sklep zarabia, dopóki działa i budzi zaufanie. Jedno ostrzeżenie „ta witryna może być niebezpieczna" albo wyciek danych kart potrafi skasować zaufanie budowane latami. Dlatego sklepy szczególnie zyskują na stałym monitoringu: sprawdzaniu integralności kodu, aktualizacjach i szybkiej reakcji, gdy coś odbiega od normy.

Prowadzisz sklep na PrestaShop i chcesz mieć pewność, że jest bezpieczny? Napisz do nas, przejrzymy go i wskażemy, co poprawić.