Proteger o site e a infraestrutura da Commerce

Estabelecer e manter um ambiente seguro para projetos Adobe Commerce implantados em infraestrutura em nuvem é uma responsabilidade compartilhada entre clientes Adobe Commerce, parceiros de soluções e Adobe. O objetivo deste guia é fornecer práticas recomendadas para o lado do cliente na equação.

Embora não seja possível eliminar todos os riscos de segurança, a aplicação dessas práticas recomendadas fortalece a postura de segurança das instalações do Commerce. Um local e uma infraestrutura seguros tornam o alvo menos atraente para ataques mal-intencionados, garantem a segurança da solução e das informações confidenciais dos clientes e ajudam a minimizar os incidentes relacionados à segurança que podem causar interrupções no local e investigações dispendiosas.

Todas as versões compatíveis de:

Recomendações prioritárias

A Adobe considera as seguintes recomendações de alta prioridade para todos os clientes. Implemente estas práticas recomendadas de segurança importantes em todas as implantações do Commerce:

Habilite a autenticação de dois fatores para suas conexões de administrador e todas as conexões SSH

Quando o MFA é habilitado em um projeto, todas as contas do Adobe Commerce na infraestrutura em nuvem com acesso SSH devem seguir um fluxo de trabalho de autenticação. Esse fluxo de trabalho requer um código de autenticação de dois fatores (2FA) ou um token de API e um certificado SSH para acessar o ambiente.

Proteger o administrador

Atualize para a versão mais recente do Adobe Commerce

Manter o código atualizado por atualização do projeto do Commerce para a versão mais recente do Adobe Commerce, dos Serviços da Commerce e das extensões, incluindo patches de segurança, hotfixes e outros patches fornecidos pelo Adobe.

Proteger valores de configuração confidenciais

Uso gerenciamento de configuração para bloquear valores críticos de configuração.

A variável lock config e lock env Os comandos da CLI configuram variáveis de ambiente para impedir que sejam atualizadas pelo administrador. O comando grava o valor na variável <Commerce base dir>/app/etc/env.php arquivo. (Para projetos de infraestrutura em nuvem do Commerce, consulte Gerenciamento de configuração de armazenamento.)

Executar verificações de segurança

Use o Serviço de verificação de segurança da Commerce para monitorar todos os sites da Adobe Commerce quanto a riscos de segurança e malware conhecidos, e inscreva-se para receber atualizações de patches e notificações de segurança.

Garantir a segurança das extensões e do código personalizado

Ao estender o Adobe Commerce adicionando extensões de terceiros do Adobe Commerce Marketplace ou adicionar código personalizado, garanta a segurança dessas personalizações aplicando as seguintes práticas recomendadas:

Escolha um parceiro ou um integrador de soluções (SI) bem versado em segurança— garanta integrações seguras e entrega segura de código personalizado selecionando organizações que seguem práticas seguras de desenvolvimento e têm um histórico sólido de prevenção e solução de problemas de segurança.

Usar extensões seguras— identifique as extensões mais apropriadas e seguras para implantações do Commerce, consultando o integrador ou desenvolvedor da solução e acompanhando Práticas recomendadas para extensões Adobe.

Código de auditoria—Analisa o servidor e o repositório de código-fonte para encontrar sobras de desenvolvimento. Certifique-se de que não haja arquivos de log acessíveis, diretórios .git publicamente visíveis, túneis para executar instruções SQL, dumps de banco de dados, arquivos php info ou quaisquer outros arquivos desprotegidos que não sejam necessários e que possam ser usados em um ataque.

Atualizar para a versão mais recente

O Adobe lança continuamente componentes atualizados da solução para melhorar a segurança e proteger melhor os clientes contra possíveis comprometimentos. Atualizar para a versão mais recente do aplicativo Adobe Commerce, serviços instalados e extensões e aplicar os patches atuais é a primeira e melhor linha de defesa contra ameaças à segurança.

A Commerce geralmente lança atualizações de segurança trimestralmente, mas se reserva o direito de lançar hotfixes para grandes ameaças à segurança com base na prioridade e em outros fatores.

Consulte os seguintes recursos para obter informações sobre versões disponíveis do Adobe Commerce, ciclos de versão e o processo de atualização e patch:

Desenvolver um plano de recuperação de desastres

Se o seu site Commerce estiver comprometido, controle os danos e restaure rapidamente as operações normais de negócios, desenvolvendo e implementando um plano abrangente de recuperação de desastres.

Se um cliente solicitar a restauração de uma instância do Commerce devido a um desastre, o Adobe poderá fornecer arquivos de backup ao cliente. O cliente e o integrador de soluções, se aplicável, podem executar a restauração.

Como parte de um plano de recuperação de desastres, a Adobe recomenda que os clientes exportar a configuração de aplicativo do Adobe Commerce para facilitar a reimplantação se for necessária para fins de continuidade de negócios. O principal motivo para exportar a configuração para o sistema de arquivos é que a configuração do sistema tem prioridade sobre a configuração do banco de dados. Em um sistema de arquivos somente leitura, o aplicativo deve ser reimplantado para alterar configurações confidenciais, fornecendo uma camada extra de proteção.

Informações adicionais

Adobe Commerce implantado na infraestrutura em nuvem

Adobe Commerce implantado no local

Manter um local e uma infraestrutura seguros

Esta seção resume as práticas recomendadas para manter a segurança do local e da infraestrutura de uma instalação do Adobe Commerce. Muitas dessas práticas recomendadas enfocam a proteção da infraestrutura do computador em geral, portanto, algumas das recomendações já podem estar implementadas.

Bloquear acesso não autorizado—Trabalhe com seu parceiro de hospedagem para configurar um túnel VPN a fim de bloquear o acesso não autorizado ao site da Commerce e aos dados do cliente. Configure um túnel SSH para bloquear o acesso não autorizado ao aplicativo do Commerce.

Usar um Firewall de Aplicativo Web—Analisar o tráfego e descobrir padrões suspeitos, como informações de cartão de crédito enviadas para um endereço IP desconhecido por meio de um firewall de aplicativo da Web.

As instalações do Adobe Commerce implantadas na infraestrutura em nuvem podem usar serviços WAF integrados disponíveis com o Integração rápida de serviços

Definir configurações avançadas de segurança de senha—Configure senhas fortes e altere-as pelo menos a cada 90 dias, conforme recomendado pelo PCI Data Security Standard na seção 8.2.4. Consulte Definir configurações de segurança do administrador.

Usar HTTPS—Se o site do Commerce for recém-implementado, inicie o site inteiro usando HTTPS. Google Além de usar HTTPS como fator de classificação, muitos usuários não consideram comprar de um site, a menos que ele esteja protegido por HTTPS.

Protect contra malware

Ataques de malware direcionados a sites de comércio eletrônico são muito comuns e os agentes de ameaça desenvolvem continuamente novas maneiras de coletar informações pessoais e de cartões de crédito das transações.

No entanto, a Adobe descobriu que a maioria dos comprometimentos do site não se deve a um hacker inovador. Em vez disso, os agentes de ameaças geralmente tiram proveito das vulnerabilidades existentes e sem patch, senhas ruins e configurações fracas de propriedade e permissão no sistema de arquivos.

Nos ataques mais comuns, um código mal-intencionado é inserido no cabeçalho ou rodapé absoluto de uma loja de clientes. Lá, o código coleta dados de formulário que um cliente insere na loja, incluindo credenciais de logon do cliente e dados de formulário de check-out. Em seguida, esses dados são enviados para outro local para fins mal-intencionados, em vez de para o back-end do Commerce. Além disso, o malware pode comprometer o administrador a executar o código que substitui o formulário de pagamento original por um formulário falso que substitui qualquer proteção definida pelo provedor de pagamento.

As escumadeiras de cartão de crédito do lado do cliente são um tipo de malware que incorpora código no conteúdo do site do comerciante que pode ser executado no navegador de um usuário, como mostrado na figura a seguir.

Depois que determinadas ações ocorrem, como um usuário enviar um formulário ou modificar um valor de campo, o skimmer serializa os dados e os envia para endpoints de terceiros. Normalmente, esses endpoints são outros sites comprometidos que atuam como uma retransmissão para enviar os dados ao destino final.

Conhecer os ataques mais comuns

Abaixo está uma lista de categorias comuns de ataques que a Adobe recomenda que todos os clientes da Commerce estejam cientes e tomem medidas para se proteger contra:

Protect contra ataques de detecção de senha

Ataques de detecção de senha com força bruta podem resultar em acesso não autorizado do administrador. Protect seu site contra esses ataques seguindo estas práticas recomendadas:

Impedir explorações de clickjacking

O Adobe protege seu armazenamento contra ataques de clickjacking, fornecendo a X-Frame-Options Cabeçalho de solicitação HTTP que pode ser incluído em solicitações para a loja. Consulte Impedir explorações de clickjacking no Guia de configuração do Adobe Commerce.