Aplicar AC-3022.patch para seguir ofreciendo DHL como transportista

DHL ha introducido la versión de esquema 6.2 y dejará de utilizar la versión de esquema 6.0 en un futuro próximo. Adobe Commerce 2.4.4 y las versiones anteriores compatibles con la integración de DHL solo admiten la versión 6.0. Los comerciantes que implementen estas versiones deben aplicar AC-3022.patch lo antes posible para seguir ofreciendo DHL como transportista. Consulte el artículo de la base de conocimiento Aplicar un parche para seguir ofreciendo DHL como transportista para obtener información sobre cómo descargar e instalar el parche.

Parche de seguridad disponible

Los comerciantes ahora pueden instalar correcciones de seguridad urgentes sin aplicar los cientos de correcciones y mejoras funcionales que ofrece una versión trimestral completa (por ejemplo, 2.3.5-p2). El parche 2.3.5.2 (Composer package 2.3.5-p2) es un parche de seguridad que proporciona correcciones para vulnerabilidades que se han identificado en nuestra versión trimestral anterior, 2.3.5-p1. Todas las correcciones rápidas aplicadas a la versión 2.3.5 se incluyen en este parche de seguridad. (Una corrección rápida proporciona una corrección de una versión publicada que soluciona un problema o error específico).

Para obtener información general acerca de los parches de seguridad, consulte Presentación de la nueva versión de parches de seguridad. Para obtener instrucciones sobre cómo descargar y aplicar parches de seguridad (incluido el parche 2.3.5-p2), consulte Inicio rápido de la instalación local. Los parches de seguridad solo incluyen correcciones de errores de seguridad, no las mejoras de seguridad adicionales que se incluyen en el parche completo.

Otra información de la versión

Aunque el código de estas funciones se incluye con versiones trimestrales , varios de estos proyectos (por ejemplo, Inventory management y Progressive Web Applications (PWA) Studio) también se publican de forma independiente. Las correcciones de errores para estos proyectos se documentan en la información de versión independiente y específica del proyecto que está disponible en la documentación de cada proyecto.

Características destacadas

Busque los siguientes aspectos destacados en esta versión:

Mejoras sustanciales de seguridad

Esta versión incluye más de 30 correcciones de seguridad y mejoras de seguridad de la plataforma.

Más de 30 mejoras de seguridad que ayudan a cerrar las vulnerabilidades de ejecución de código remoto (RCE) y ejecución de scripts en sitios múltiples (XSS)

Hasta la fecha no se han producido ataques confirmados relacionados con estos problemas. Sin embargo, es posible que se aprovechen ciertas vulnerabilidades para acceder a la información de los clientes o hacerse cargo de las sesiones de administrador. La mayoría de estos problemas requieren que un atacante obtenga acceso primero al administrador. Como resultado, le recordamos que tome todas las medidas necesarias para proteger a su administrador, entre las que se incluyen, entre otras, las siguientes: inclusión en la lista de permitidos de IP, autenticación de doble factor, uso de una VPN, uso de una ubicación única en lugar de /admin y buena higiene de la contraseña. Consulte Actualizaciones de seguridad disponibles para Magento para ver un análisis de estos problemas corregidos. para una discusión de estos problemas fijos.

Mejoras de seguridad adicionales

  • Implementación de 2FA para cuentas de administrador, cuentas de usuario de magento.com y acceso a Cloud SSH

    • Protegiendo su cuenta de administrador. Ahora se requiere autenticación de doble factor (2FA) para el administrador. Los usuarios administradores deben configurar primero su 2FA antes de iniciar sesión en el administrador a través de la interfaz de usuario o una API web. 2FA está habilitado de forma predeterminada. Se recomienda encarecidamente no deshabilitar el módulo 2FA. Este paso adicional de autenticación dificulta que los usuarios malintencionados inicien sesión en el administrador sin autorización. Ver Autenticación de doble factor (2FA).

    • Protegiendo su cuenta. La autenticación de doble factor (2FA) proporciona un nivel de seguridad adicional y opcional para proteger mejor su cuenta de magento.com de usuarios no autorizados que podrían querer usar su cuenta de formas que usted no desea. Ver Proteger tu cuenta.

  • Protección del acceso SSH en la nube. Adobe en la infraestructura en la nube proporciona aplicación de autenticación de varios factores (MFA) para administrar los requisitos de autenticación para el acceso SSH a los entornos en la nube. La autenticación de varios factores para 2FA no está habilitada de manera predeterminada en un proyecto. Adobe recomienda habilitar esta función. Póngase en contacto con Soporte técnico para obtener ayuda. Consulte Habilitar la autenticación multifactor para el acceso SSH.

  • El modo estricto de filtro de plantilla ahora está habilitado de manera predeterminada. Los componentes (incluidas las páginas y los bloques de CMS) que utilizan el filtro de plantilla en el modo heredado pueden ser vulnerables a la ejecución remota de código (RCE). Habilitar el modo estricto de forma predeterminada garantiza que los ataques RCE no se puedan habilitar deliberadamente.

  • La representación de datos para los proveedores de datos de la interfaz de usuario está deshabilitada de manera predeterminada. Esto elimina la oportunidad de que usuarios malintencionados ejecuten JavaScript arbitrario.

  • Nueva \Magento\Framework\Escaper clase. Esta clase se proporciona para .phtml plantillas y las clases PHP responsables de generar HTML. Esta clase contiene métodos de saneamiento de HTML relevantes para varios contextos. La variable local $escaper está disponible dentro de .phtml plantillas y se debe usar en lugar de la variable obsoleta $block->escape{method}. Use $escaper en lugar de $block, ya que el uso de $block->escape{method} ha quedado obsoleto.

  • Compatibilidad con el nuevo archivo security.txt. Este archivo es un archivo estándar del sector en el servidor que ayuda a los investigadores de seguridad a informar de posibles problemas de seguridad a los administradores del sitio.

  • Mejoras en la compatibilidad con la Política de seguridad de contenido (CSP). SecureHtmlRenderer se ha agregado al marco de trabajo y está disponible en .phtml plantillas para incluir en la lista blanca etiquetas style y script en línea. Los scripts y estilos en línea no están permitidos con la configuración CSP predeterminada, que los archivos XML pueden anular.

NOTA
A partir de la versión 2.3.2 de, asignaremos y publicaremos números de Vulnerabilidades comunes y exposiciones (CVE) indexados con cada error de seguridad que nos comuniquen partes externas. Esto permite a los usuarios identificar con mayor facilidad las vulnerabilidades sin solucionar en su implementación. Puede obtener más información sobre los identificadores CVE en CVE.

Actualizaciones de plataforma

Las siguientes actualizaciones de la plataforma ayudan a mejorar la seguridad y el rendimiento del sitio web. Las versiones compatibles de PHP y PHPUnit, Elasticsearch, MySQL y otras dependencias se enumeran en requisitos de pila tecnológica.

  • Se introdujo compatibilidad con PHP 7.4 y PHP 7.1 y 7.2 quedaron obsoletas. 2.4.0 incorpora soporte para PHP 7.4.

  • Compatibilidad con PHPUnit 9.x y desaprobación de PHPUnit 6.5. PHP 7.4 requiere el uso del último marco de pruebas PHPUnit, que es PHPUnit 9.x. Los proveedores de extensiones de Commerce Marketplace deben confirmar que todas las nuevas versiones de extensión son compatibles con PHP 7.4 y que todas las pruebas de unidad e integración se han configurado para ejecutarse con PHPUnit 9.

  • Compatibilidad con Elasticsearch 7.6.x. Elasticsearch 7.6.x es ahora el motor de búsqueda de catálogo predeterminado para Adobe Commerce y Adobe Commerce. No puede instalar ni actualizar a la versión 2.4.0 sin instalar también Elasticsearch 7.6.x. Se ha eliminado el código de la versión 2.x de Elasticsearch. Las versiones 5.x y 6.x de Elasticsearch han quedado obsoletas y ya no son compatibles. Consulte Requisitos previos del motor de búsqueda.

  • Compatibilidad con MySQL 8.0. La versión 2.4.x es compatible con MySQL 8.x. (La versión 2.4.0 se ha probado con MySQL 8.0.20). Se recomienda a los comerciantes migrar sus implementaciones a MySQL 8.x para aprovechar su rendimiento, seguridad y fiabilidad mejorados. Aunque MySQL 5.7 sigue siendo compatible con Magento 2.4.x, MySQL 5.6 ya no es compatible. No se puede alojar 2.4.x con una base de datos MySQL 5.6. Consulte MySQL.

  • Eliminación del motor de búsqueda del catálogo MySQL. El motor de búsqueda MySQL se ha eliminado de la versión 2.4.0 y se ha sustituido por el motor de búsqueda predeterminado con Elasticsearch. Elasticsearch ofrece funciones de búsqueda superiores, así como optimizaciones del rendimiento del catálogo. Todos los comerciantes deben tener Elasticsearch para instalar e implementar la versión 2.4.0. Consulte Comprobar que Elasticsearch está instalado.

  • Compatibilidad con MariaDB 10.4. La compatibilidad con MySQL 8.0 ofrece a los comerciantes la oportunidad de implementar MariaDB 10.4 con Magento Open Source. Aunque los comerciantes aún pueden utilizar MariaDB 10.2 con 2.4.0, recomendamos actualizar a MariaDB 10.4 para mejorar el rendimiento y la fiabilidad. MariaDB 10.0 y 10.1 ya no son compatibles (como resultado de la eliminación de la compatibilidad con MySQL 5.6 en esta versión).

  • Migración de dependencias de Zend Framework al proyecto Laminas para reflejar la transición de Zend Framework al proyecto Laminas de la Fundación Linux. Zend Framework ha quedado obsoleto. Ver la migración de Zend Framework al proyecto Laminas publicación DevBlog.

  • La descomposición de controladores permite a los desarrolladores de extensiones implementar ActionInterface directamente sin clases de "supertipo de capa". Ver la publicación de DevBlog Descomposición de controladores. Mejora iniciada por Vinai Kopp en la solicitud de extracción 16268 y finalizada por Lukasz Bajsarowicz en la solicitud de extracción 26778. GitHub-9582

  • Eliminación de la integración principal del código de protección contra fraude Signifyd. Esta función principal ya no es compatible. Los comerciantes deberían migrar a la extensión Signifyd Fraud & Chargeback Protection que está disponible en Commerce Marketplace.

  • El módulo core Braintree se ha eliminado de la base de código. El módulo Braintree Payments ahora proporciona el mismo conjunto de funciones. Consulte Braintree Payments.

  • El explorador Internet Explorer 11.x ya no es compatible.

Mejoras de infraestructura

Esta versión contiene mejoras en la calidad principal, que mejoran la calidad del marco de trabajo y estos módulos: Cuenta de cliente, Catálogo, CMS, Importación, Carro y cierre de compra, y B2B.

  • Eliminación de la integración principal de los métodos de pago de terceros. Con esta versión, la integración del método de pago Authorize.Net se ha eliminado del código principal. Los comerciantes deben migrar a la extensión oficial disponible en Commerce Marketplace. Ver la publicación de devblog Deprecation of payment integrations.

  • Compatibilidad con la búsqueda de palabras parciales para Elasticsearch (nuevo motor de búsqueda predeterminado). Elasticsearch ahora admite el uso de palabras parciales en los términos de búsqueda para nombres de productos y SKU al utilizar la búsqueda rápida. Esta capacidad era compatible con el motor de búsqueda MySQL, que ha quedado obsoleto y sustituido por Elasticsearch en esta versión.

  • Actualización a PayPal JavaScript SDK. Hemos migrado la integración de Pago y envío de PayPal Express a la última versión de PayPal JavaScript SDK, un SDK que recopila y pasa automáticamente a PayPal los parámetros de riesgo necesarios. El comportamiento de la forma de pago PayPal Express Checkout permanece inalterado. Sin embargo, al actualizar este SDK a la versión más reciente, los comerciantes pueden acceder a las últimas funciones y mejoras de seguridad.

  • Desaprobación y eliminación del Asistente para configuración web. Debe utilizar la línea de comandos para instalar o actualizar la versión 2.4.0. Consulte Instalar Magento.

  • Complemento de actualización del compositor. El complemento Composer optimiza el proceso de actualización al resolver los cambios que deben realizarse en el archivo del proyecto raíz composer.json antes de actualizar a una nueva versión. Este complemento protege contra la sobrescritura de las personalizaciones. Consulte Actualizar mediante el complemento raíz del compositor.

  • Compras asistidas por el vendedor. Esta función permite a los comerciantes ver la tienda en nombre de sus clientes. Los clientes optan por permitir el acceso de tienda a sus cuentas. Esta característica desarrollada por la comunidad incluye una extensión original desarrollada por MAGEFAN. Ver Compras asistidas por el vendedor. Las funciones incluyen:

    • ACL para controlar qué administradores pueden iniciar sesión en las cuentas de cliente se pueden configurar por sitio web
    • Compatibilidad con varios sitios web y ámbitos de cuenta de cliente
    • Los pedidos realizados en nombre de los clientes se registran en la tienda y en el administrador
    • Todas las sesiones se destruyen tras el cierre de sesión del administrador y los administradores no pueden acceder a las contraseñas de los clientes.

Mejoras de rendimiento

  • Mejoras en la lógica de invalidación de la sección de datos del cliente. Esta versión presenta una nueva forma de invalidar todos los datos de secciones de clientes que evita un problema conocido con el almacenamiento local cuando las invalidaciones de sections.xml personalizadas están activas. (Anteriormente, el contenido privado (almacenamiento local) no se rellenaba correctamente cuando tenía un etc/frontend/sections.xml personalizado con invalidaciones de acción). Ver contenido privado.

  • Varias optimizaciones para mejorar el rendimiento. Las mejoras minimizan el número de consultas a Redis que se realizan en cada solicitud. Estas optimizaciones incluyen:

    • Reducción del tamaño de las transferencias de datos de red entre Redis y Magento

    • Reducción en el consumo de ciclos de CPU de Redis al mejorar la capacidad del adaptador para determinar automáticamente lo que debe cargarse

    • Reducción de las condiciones de carrera en las operaciones de escritura de Redis

    Consulte Usar Redis para la página y la caché predeterminada y Configurar el almacenamiento en caché.

  • Se mejoró el almacenamiento en caché de los resultados de las consultas SQL en las tablas de inventario. Estas mejoras incluyen:

    • Almacenamiento en caché de consultas SQL en la tabla inventory_stock_sales_channel (1 consulta en lugar de 16)

    • Almacenamiento en caché del resultado de las consultas en la tabla inventory_stock (1 consulta en lugar de 16)

  • Mejora de hasta un 25 a un 30% en el rendimiento del complemento de pedidos rápidos.

  • Los comerciantes ahora pueden usar carga diferida para cargar imágenes.

Integración de Adobe Stock v2.0

Capacidad de obtener licencias de vistas previas de imágenes de archivo de la Galería multimedia. Los comerciantes ahora pueden encontrar cualquier imagen de vista previa de Adobe Stock en la Galería de medios, lo que reduce el número de pasos necesarios para obtener una licencia de la imagen de vista previa de stock.

Galería de medios nuevos

Este reemplazo de la antigua Galería multimedia ofrece una nueva interfaz en la que se pueden realizar búsquedas de recursos multimedia. Los administradores ahora pueden buscar, filtrar y ordenar imágenes hasta 30 veces más rápido de lo que lo podían hacer en la versión anterior de esta función. Los comerciantes pueden utilizar esta herramienta para evaluar el uso de imágenes de tienda. Los desarrolladores de extensiones deben tener en cuenta que las extensiones desarrolladas para Media Gallery no funcionarán como se espera con la nueva Media Gallery.

Inventory management

Las mejoras de Inventory management para esta versión incluyen compatibilidad con la recogida en tienda y con el paquete de soporte de productos. Consulte Notas de la versión de Inventory management para obtener un análisis más detallado de las correcciones de errores recientes de Inventory management.

GraphQL

Las mejoras de GraphQL incluyen:

  • La consulta pickupLocations admite la función de recogida en tienda de inventario
  • categories consulta devuelve una lista de categorías que coinciden con un filtro especificado. Esta consulta difiere de la consulta categoryList en que admite paginación.
  • La mutación reorderItems permite que un usuario que ha iniciado sesión añada todos los productos de un pedido anterior al carro de compras.

Consulte la Guía para desarrolladores de GraphQL para obtener más información sobre esta y otras mejoras. Consulte Notas de la versión para obtener un análisis detallado de las correcciones de errores recientes de GraphQL.

PWA Studio

Consulte compatibilidad para obtener una lista de versiones de PWA Studio y sus versiones compatibles. Para obtener información acerca de mejoras y correcciones de errores, consulte Versiones de PWA Studio.

Marco de prueba funcional (MFTF)

MFTF v3.0.0 incluye estas nuevas características e incluye soporte para PHP 7.4 y PHPUnit 9:

  • Ayudantes MFTF, que pueden crear acciones personalizadas fuera del marco de prueba
  • actualizaciones de esquema para entidades de prueba
  • subcarpetas en módulos de prueba
  • sintaxis de afirmación anidada
  • comprobación estática que comprueba e informa de referencias a entidades de prueba obsoletas

Esta versión también elimina las acciones obsoletas y actualiza los scripts que se añadieron a las pruebas de actualización a los requisitos de versión principales de MFTF.

Mejoras en las extensiones desarrolladas por el proveedor

Esta versión de incluye extensiones desarrolladas por proveedores externos. Introduce mejoras tanto de calidad como de experiencia de usuario en estas extensiones y una expansión de la cobertura de MFTF.

Los proveedores de extensiones de Commerce Marketplace deben confirmar que sus extensiones son compatibles con PHP 7.4 al publicar una nueva versión de su extensión para 2.4.0.

Amazon Pay

Esta versión incluye:

  • Actualizaciones en listas de permitidos CSP
  • Capacidad para realizar varias autorizaciones para un pedido de varios artículos
  • Compatibilidad con direcciones en japonés