Sécurisez votre site et votre infrastructure Commerce

La création et la maintenance d’un environnement sécurisé pour les projets Adobe Commerce déployés sur l’infrastructure cloud est une responsabilité partagée entre les clients Adobe Commerce, les partenaires de solution et l’Adobe. Ce guide a pour but de fournir des bonnes pratiques pour le côté client de l’équation.

Bien que vous ne puissiez pas éliminer tous les risques de sécurité, l’application de ces bonnes pratiques renforce la position de sécurité des installations Commerce. Un site et une infrastructure sécurisés constituent une cible moins attrayante pour les attaques malveillantes, assurent la sécurité de la solution et des informations sensibles des clients et contribuent à minimiser les incidents liés à la sécurité qui peuvent entraîner des interruptions du site et des enquêtes coûteuses.

Toutes les versions prises en charge de :

Recommandations relatives aux priorités

Adobe considère que les recommandations suivantes ont la priorité la plus élevée pour tous les clients. Mettez en oeuvre les bonnes pratiques de sécurité clés suivantes dans tous les déploiements Commerce :

Activez l’authentification à deux facteurs pour votre administrateur et toutes les connexions SSH

Lorsque MFA est activé sur un projet, tous les comptes d’infrastructure cloud avec accès SSH doivent suivre un workflow d’authentification. Ce workflow nécessite un code d’authentification à deux facteurs (2FA) ou un jeton API et un certificat SSH pour accéder à l’environnement.

Sécuriser l’administrateur

Mise à niveau vers la dernière version d’Adobe Commerce

Conservez votre code mis à jour en mettant à niveau votre projet Commerce vers la dernière version d’Adobe Commerce, des services Commerce et des extensions, y compris les correctifs de sécurité, correctifs logiciels et autres correctifs fournis par Adobe.

Valeurs de configuration sensibles sécurisées

Utilisez la gestion de la configuration pour verrouiller les valeurs de configuration critiques.

Les commandes d’interface de ligne de commande lock config et lock env configurent les variables d’environnement pour les empêcher d’être mises à jour par l’administrateur. La commande écrit la valeur dans le fichier <Commerce base dir>/app/etc/env.php. (Pour Commerce sur les projets d’infrastructure cloud, voir Gestion de la configuration du magasin.)

​ ​Exécution des analyses de sécurité

Utilisez le service d'analyse de sécurité de Commercepour surveiller tous les sites Adobe Commerce à la recherche de risques de sécurité connus et de logiciels malveillants, et inscrivez-vous pour recevoir des mises à jour de correctifs et des notifications de sécurité.

Garantir la sécurité des extensions et du code personnalisé

Lorsque vous étendez Adobe Commerce en ajoutant des extensions tierces à partir d’Adobe Commerce Marketplace ou en ajoutant du code personnalisé, assurez-vous de la sécurité de ces personnalisations en appliquant les bonnes pratiques suivantes :

Sélectionnez un partenaire ou un intégrateur de solution (SI) bien rompu en matière de sécurité : assurez-vous que les intégrations sont sécurisées et que le code personnalisé est diffusé en toute sécurité en sélectionnant les organisations qui suivent des pratiques de développement sécurisées et qui disposent d’un solide historique de prévention et de résolution des problèmes de sécurité.

Utilisez des extensions sécurisées : identifiez les extensions les plus appropriées et les plus sécurisées pour les déploiements Commerce en consultant votre intégrateur ou développeur de solutions et en suivant les bonnes pratiques d’Adobe Extensions.

Code d’audit : vérifiez les restes de développement dans votre serveur et votre référentiel de code source. Assurez-vous qu’il n’existe pas de fichiers journaux accessibles, de répertoires .git publiquement visibles, de tunnels pour exécuter des instructions SQL, de vidages de base de données, de fichiers d’informations php ou de tout autre fichier non protégé qui n’est pas nécessaire et qui peut être utilisé dans une attaque.

Mise à niveau vers la dernière version

Adobe publie continuellement des composants de solution mis à jour afin d’améliorer la sécurité et de mieux protéger les clients contre tout compromis possible. La mise à niveau vers la dernière version de l’application Adobe Commerce, les services installés et les extensions et l’application des correctifs actuels est la première et la meilleure ligne de défense contre les menaces de sécurité.

Commerce publie généralement les mises à jour de sécurité sur une base trimestrielle, mais se réserve le droit de publier des correctifs pour les principales menaces de sécurité en fonction des priorités et d’autres facteurs.

Consultez les ressources suivantes pour plus d’informations sur les versions d’Adobe Commerce disponibles, les cycles de publication et le processus de mise à niveau et de correctif :

Développer un plan de reprise sur sinistre

Si votre site Commerce est compromis, contrôlez les dommages et restaurez rapidement les opérations commerciales normales en développant et en mettant en oeuvre un plan complet de reprise sur sinistre.

Si un client nécessite la restauration d’une instance Commerce en raison d’une catastrophe, Adobe peut lui fournir des fichiers de sauvegarde. Le client et l’intégrateur de solution, le cas échéant, peuvent effectuer la restauration.

Dans le cadre d'un plan de reprise sur sinistre, Adobe recommande vivement aux clients d'exporter leur configuration d'application Adobe Commerceafin de faciliter le redéploiement si nécessaire à des fins de continuité d'activité. La raison principale pour laquelle exporter la configuration vers le système de fichiers est que la configuration du système a priorité sur la configuration de la base de données. Dans un système de fichiers en lecture seule, l’application doit être redéployée pour modifier les paramètres de configuration sensibles, fournissant ainsi une couche de protection supplémentaire.

Informations supplémentaires

Adobe Commerce déployée sur l’infrastructure cloud

Adobe Commerce déployé sur site

Maintenir un site et une infrastructure sécurisés

Cette section résume les bonnes pratiques relatives à la maintenance de la sécurité du site et de l’infrastructure pour une installation Adobe Commerce. La plupart de ces bonnes pratiques se concentrent sur la sécurisation de l’infrastructure informatique en général. Certaines de ces recommandations peuvent donc déjà être mises en oeuvre.

Bloquer l’accès non autorisé : demandez à votre partenaire d’hébergement de configurer un tunnel VPN pour bloquer l’accès non autorisé au site Commerce et aux données client. Configurez un tunnel SSH pour bloquer l’accès non autorisé à l’application Commerce.

Utilisez un pare-feu d’application web : analysez le trafic et découvrez des schémas suspects, tels que des informations de carte de crédit, envoyées à une adresse IP inconnue à l’aide d’un pare-feu d’application web.

Les installations Adobe Commerce déployées sur l’infrastructure cloud peuvent utiliser les services WAF intégrés disponibles avec l’ intégration de services fastly

Configurez les paramètres avancés de sécurité des mots de passe : configurez les mots de passe difficiles à deviner et modifiez-les au moins tous les 90 jours, comme recommandé par la norme de sécurité des données PCI dans la section 8.2.4. Voir Configuration des paramètres de sécurité d’administration.

Utiliser HTTPS : si le site Commerce est récemment mis en oeuvre, lancez le site entier à l’aide de HTTPS. Google utilise non seulement HTTPS comme facteur de classement, mais de nombreux utilisateurs n’envisagent même pas d’acheter sur un site, sauf s’il est sécurisé avec HTTPS.

Protect contre les malware

Les attaques de logiciels malveillants ciblant les sites de commerce électronique sont trop courantes, et les acteurs de la menace développent continuellement de nouvelles façons de prélever des cartes de crédit et des informations personnelles sur les transactions.

Cependant, l'Adobe a découvert que la plupart des compromis de site ne sont pas dus à un hacker innovant. Au contraire, les acteurs de la menace profitent souvent de vulnérabilités existantes et non corrigées, de mots de passe médiocres et de paramètres de propriété et d'autorisation faibles dans le système de fichiers.

Dans les attaques les plus courantes, du code malveillant est injecté dans l’en-tête absolu ou dans le pied de page absolu d’une boutique de clients. Là-bas, le code collecte les données de formulaire qu’un client entre dans le storefront, y compris les informations d’identification de connexion et les données de formulaire de passage en caisse. Ces données sont ensuite envoyées à un autre emplacement à des fins malveillantes plutôt qu’au serveur principal Commerce. En outre, les logiciels malveillants peuvent compromettre l'exécution par l'administrateur du code qui remplace le formulaire de paiement d'origine par un faux formulaire qui remplace toute protection définie par le fournisseur de paiement.

Les escrocs de carte de crédit côté client sont un type de logiciel malveillant qui incorpore le code dans le contenu du site web marchand pouvant être exécuté dans le navigateur d’un utilisateur, comme illustré dans la figure suivante.

Une fois certaines actions effectuées (par exemple, l’envoi d’un formulaire par un utilisateur ou la modification d’une valeur de champ), la visionneuse sérialise les données et les envoie à des points de terminaison tiers. Ces points de terminaison sont généralement d’autres sites web compromis qui agissent comme un relais pour envoyer les données vers sa destination finale.

Connaître les attaques les plus courantes

Vous trouverez ci-dessous une liste des catégories courantes d’attaques auxquelles Adobe recommande à tous les clients Commerce de prendre connaissance et de prendre des mesures pour les protéger :

Protect contre les attaques par devinette de mot de passe

Les attaques par devinette force le mot de passe peuvent entraîner un accès administrateur non autorisé. Protect votre site à partir de ces attaques en suivant les bonnes pratiques suivantes :

Prévention des explosions de détournement de clic

Adobe protège votre magasin des attaques de détournement de clic en fournissant l’en-tête de requête HTTP X-Frame-Options que vous pouvez inclure dans les requêtes sur votre storefront. Voir Empêcher les exploits de détournement de clic dans le Guide de configuration Adobe Commerce.