Magento 是开源软件，这自然带来了一些显著优势，但也存在一个重大缺陷。源代码对恶意攻击者也是可见的。他们经常进行黑客攻击、植入恶意软件和其他有害感染。对此有何对策？
Magento 安全问题的严重程度从未完全明确。去年发布的一份由安全公司 Trustwave 进行的调查显示，网络商店是黑客的重要目标。例如，SQL 注入攻击、上传受感染文件以及代码注入是困扰网店所有者的常用手段。据 Trustwave 称，尤其是 Magento 用户成为受害者。在 2015 年受影响的商店中，85% 运行的是该软件。
几乎总是因为未及时（或根本没有）更新软件所致。今年秋天，这在荷兰导致了一份被黑网站的长长名单。安全研究员 Willem de Groot 指出有 250 家网络商店 不安全。他警告说，代码注入可能导致信用卡数据的‘在线窃取’。这一现象在去年增长了 69%。不久之后，德国也传来消息。一家安全组织成功指出了至少一千家泄露财务数据的网络商店。在这种情况下，同样 存在运行非最新软件的网站。
Magento 安全：指南
这也直接引出了最佳安全的第 一条规则。确保网店运行在最新的软件版本上。Magento 会向管理面板的消息收件箱发送有关关键漏洞的通知。在 Magento 的安全博客上当然也能找到不少信息。此外，别忘了（自动）更新扩展程序。使用 Magento Connect Manager 可以扫描和更新已安装的扩展程序。
在一篇关于 Magento 安全性的文章中 KeyCDN 指出，最重要也是最简单且最常被忽视的操作是许多店主使用‘admin’作为主账户。这是任何人都不应该做的。因此，Magento 在主菜单的‘System’下提供了更改用户名的选项。用于打开管理面板的 URL 也是如此。在标准 Magento 安装中，可以通过‘域名.nl/admin/’访问软件。CDN 公司建议为此创建一个不同的地址。在‘app/etc/local.xml’中可以找到代码 最重要的操作也是最简单且最常被忽视的。许多店主使用‘admin’作为主账户。这是任何人都不应该做的。因此，Magento 在主菜单的‘System’下提供了更改用户名的选项。用于打开管理面板的 URL 也是如此。在标准 Magento 安装中，可以通过‘domeinnaam.nl/admin/’. 为此请创建另一个地址，CDN 公司表示。在‘app/etc/local.xml’中可以找到代码‘<![CDATA[admin]]’。随后在此处修改‘admin’一词。
由于文件权限设置错误，经常会出现问题。对于所有目录和文件，都需要指定谁可以读取、写入或修改它们。一个错误的设置就会让文件对任何外部人员公开。遵循 Magento 自身的指导 因此要仔细遵循。额外建议：调整上述‘local.xml’文件的权限（权限设置为 600）。该文件包含数据库信息，绝不应让他人读取。
“考虑启用双因素认证”
要判断一个 Magento 安装是否存在风险，使用 MageReport 可以轻松确定。这家托管服务提供商 Byte 的免费工具会指出该安装是否已准备好应对最常见的攻击和数据泄露。
Tim Muller 是 Byte 的一名 MageReport 开发者，他了解常见的错误。他建议对每位用户，尤其是店主，强制要求他们选择强密码。这一直都很重要，但所谓的暴力破解攻击非常流行且日益复杂。“在暴力破解中，通常会使用字典——即常用密码列表。”另一种方法是对所有管理页面应用‘IP 白名单’。这样，管理页面只能从自己的 IP 地址或受信任的地址访问。如果启用双因素认证，安全性会更高。用户将使用密码以及发送到与账户关联的手机上的临时登录代码进行登录。
Muller 还说要仔细监控 Magento 中注册了哪些账户。“留意账户和文件中发生的任何变化。恶意者可能会尝试接管商店。其中一种方式是通过 SQL 注入（Magento Shoplift）创建一个管理员账户。”如果使用 Git 等版本控制系统，这些变化可以相当精确地追踪。“例如，最近出现了一个安全问题，导致 Mage.php 文件被覆盖为一个窃取访客信用卡信息的版本。重要的是要意识到该领域始终存在动态变化，你无法百分之百确保系统绝对安全。不过，有了 Git，至少可以快速查看具体发生了什么变化。”
也想检查你的 Magento 商店现在有多安全吗？请使用免费工具 MageReport.