Magento セキュリティのベスト プラクティス: ストアを安全に保つ方法

Magento を使用して e コマースストアを立ち上げる場合、Magento ウェブサイトをどのように保護するかが最大の関心事となるはずです。Magentoには強力なビルトインセキュリティ機能がいくつかありますが、攻撃やデータ損失からサイトを保護するために何かをしなければなりません。

Magentoは25万以上のアクティブサイトを持つ強力なeコマースプラットフォームですが、セキュリティ上のリスクもあります。Magentoベースのeコマースストアの87%は、サイバー攻撃のリスクが高い、 最近のTechRadarのセキュリティレポートによると.

あなたの店もその可能性がある。

Magentoのセキュリティとは

最も人気のあるeコマースプラットフォームの1つであるMagentoには、データ漏洩、情報窃盗、不正取引などのセキュリティリスクを軽減するセキュリティ機能が組み込まれています。信頼できるテーマ、エクステンション、ホスティングなど、最新の Magento セキュリティ対策をすべて適用していることを確認してください。

このことは、2020年にeコマースストアを始めようと考えている人にとって、その規模や歴史にかかわらず、Magentoが第一の選択肢であることを明確に示しています。しかし、Magentoは、ほとんどのeコマースマーチャントに対して、優れたセキュリティ対策をすぐに提供しています。

Magentoセキュリティチェックリスト：2023年にMagentoストアを保護するには？

以下のチェックリストに従うことで、Magentoのセキュリティ問題を防ぐことができます（ある程度は修正することもできます）。ここでは、Magento のセキュリティに関するヒントをいくつか紹介します。 eコマースストア を確保した：

Magentoの最新バージョンを使用する

Magentoの最新バージョンはベストではないと言われることがあります。その理由は、ほとんどの人が Magento の最新バージョンはセキュリティが十分でないと考えているからです。これは事実ですが、開発者は通常、新しいリリースで以前の Magento セキュリティパッチの問題を修正します。そのため、最新の Magento パッチに対応することは不可欠です。安定リリースがリリースされたら、それを実装する前に Magento のテストを行うべきです。

二要素認証（2FA）を使用する

Magento 2 プラットフォームは二要素認証（2FA）をサポートしており、ステルスまたは密かに移動するレイヤーを追加します。信頼できるデバイスが Magento 2 バックエンドにアクセスできるように、4 種類の認証方式が使用されます。

スマートフォンのセキュリティコードと Magento 管理画面ログイン時のパスワードを使用することで、Magento 二要素認証エクステンションは Magento 管理画面ログインのセキュリティを強化します。Magento 2 の管理パネルにアクセスするには、許可されたユーザーだけにコードを許可します。

二要素認証（2FA）をサポートするいくつかのMagentoエクステンションを使えば、パスワード関連のMagentoセキュリティリスクを心配する必要はなくなります。

管理画面のパスをカスタマイズする

Magento の管理パネルには my-site.com/admin からアクセスできます。ハッカーは簡単に Magento 管理画面のログインページにアクセスし、総当たり攻撃を行うことができます。

これを防ぐには、/admin にカスタマイズした用語（例えば "Store Door"）を指定します。ハッカーがあなたのパスワードを入手することに成功した場合、彼らはあなたの Magento 管理ログインページへのアクセスも防ぐことができます。Magento 1 では local.xml ファイルを、Magento 2 では env.php ファイルを編集することで、Magento 管理画面のパスを変更できます。

暗号化接続（SSL/HTTPS）の取得

暗号化されていない接続を介して送信されたデータ（ログイン情報など）は、傍受される危険性があります。攻撃者はこの傍受によってあなたの認証情報を覗き見ることができるかもしれません。このような問題を避けるために、Magento の接続は安全でなければなりません。

Magento では、システム設定メニューの「安全な URL を使用する」タブをチェックすることで、安全な HTTPS/SSL URL を取得できます。さらに、Magento のウェブサイトを PCI データセキュリティ標準に準拠させるために不可欠な要素です。

Let's Encryptは、もしあなたが SSL証明書.さらに、PCIに準拠することができます。

安全なFTPを使用する

FTPパスワードを簡単に推測したり傍受したりすることは、ウェブサイトをハッキングする最も一般的な方法のひとつだ。

 SFTP（Secured File Transfer Protocol）は、秘密鍵ファイルを使用して、ユーザーを復号化し、認証しますので、このような事態を防ぐことができます。Carmatecでは、SFTPアクセスはすでに利用可能です。

積極的なバックアップ計画を持つ

Magentoのセキュリティ対策を講じることは素晴らしいことですが、バックアッププランも同様に重要です。オフサイトのバックアップは毎時、ダウンロード可能なバックアップも作成する必要があります。バックアッププランがあれば、ウェブサイトがハッキングされたり、何らかの理由でクラッシュした場合でも、サービスが中断することはありません。

ウェブサイトのバックアップファイルは、オフサイトに保存するか、オンラインバックアップサービスを通じてバックアップすることで、データ損失を防ぐことができます。データバックアップの結果、データ損失は最小限に抑えられます。

ホスティングプロバイダーがバックアップ戦略を持っているかどうかを常に尋ねる必要があります。当社のバックアップはタイムリーで十分です。 カーマテック.

ディレクトリのインデックスを無効にする

ディレクトリインデックスを無効にすることで、Magentoストアのセキュリティを向上させることができます。ディレクトリインデックスを無効にすることで、ドメインのファイルが保存されている様々なパスを隠すことができます。

サイバー犯罪者が Magento を使用したウェブサイトのコアファイルにアクセスするのを防ぐために使用できます。データへのフルパスを知られた場合でも、アクセスされる可能性はあります。

Magentoのパスワードには注意が必要です。

Magentoストアにアクセスするにはパスワードが必要です。そのため、パスワードの選択には細心の注意が必要です。大文字と小文字のアルファベット、数字、? や > などの特殊文字を含むパスワードを作成しましょう (さらに、複雑なパスワードを覚えるのが難しい場合は、パスワード管理サービスを利用することもできます)。 

さらに、Magentoのパスワードを他のウェブサイトへのログインに決して使用しないでください。ハッカーにパスワードを発見されにくくするため、Magentoのパスワードは他のアプリケーションとは別に管理してください。

電子メールの抜け穴をふさぐ

Magentoでは、ユーザーはあらかじめ設定されたメールアドレスからパスワードを回復することができます。メールアドレスがハッキングされた場合、Magento ストア全体が脆弱になります。Magentoではメールアドレスに二要素認証を要求しており、公に知られてはいけません。

健全なプランでウェブサイトをホストする

どのようなeコマースビジネスにとっても、共有ホスティングは良い選択肢ではありません。

 共有ホスティングは一般的に Magento のスタートアップにとって良いオプションですが、共有ホスティングに投資すると Magento ストアのセキュリティが損なわれます。

専用ホスティングを検討することもできますが、1台のサーバーに制限されるため、ニーズに十分対応できない可能性があります。Magentoストアのトラフィックが突然急増すると、リソース不足のためにウェブサイトがクラッシュします。

その代わりに、堅牢なセキュリティと頻繁なサーバーパッチを提供するマネージドクラウドホスティングプロバイダーを選ぶべきである。

10分の1のホスティングプランは、（少なくとも低価格では）提供できない機能を約束します。彼らはMagentoのセキュリティについて何も知らないので、そのようなプランから離れるべきです。

MySQLインジェクションの防止

Magentoの新しいバージョンとパッチは、MySQLインジェクション攻撃に対する優れた保護を提供しますが、それだけに依存することは必ずしも最適ではありません。ウェブサイトと顧客を保護するために、NAXSI などのウェブアプリケーションファイアウォールを追加することをお勧めします。Magento 2 の公式開発者が提供するセキュリティパッチを適用することも可能です。

Magentoのセキュリティレビューを受ける

Magentoの開発者がセキュリティの専門家である必要はありません。

 コーディングが得意な人はたくさんいますが、Magentoサイトのセキュリティ対策を知っている人はごく少数です。そのため、年に1回（あるいは2回）、セキュリティギャップがないか、ウェブサイトの分析を受ける必要があります。 

Magento 2のセキュリティスキャンには、サイト、プラグイン、インストールされているエクステンションのチェックが含まれます。 セキュリティ上の欠陥、バグ、抜け穴がある場合は、信頼できるセキュリティ会社から Magento 2 セキュリティパッチを入手する必要があります。これらのレビューが適切に行われれば、Magentoストアのセキュリティをさらに強化することが可能です。

Magentoコミュニティと連絡を取る

サポートが必要な場合は、Magento の技術コミュニティがいつでもお手伝いします。Magento やその機能に関連するセキュリティ問題に関する問い合わせを投稿したい場合は、検索して投稿することができます。また、Magento コミュニティのメンバーによってさまざまなバージョンの Magento がリリースされていますので、そちらにもご注目ください。

Magento 管理パネルにセキュリティキーを追加する

Magento 2 eコマースプラットフォームでは、URLにシークレットキーを簡単に付加することができます。さらに、このキーは盗聴者/ハッカーが管理パネルにアクセスするのを防ぎます。

Magento 2 のセキュリティ強化策として、キーボードの非アクティブ時間を追加することもできます。こうすることで、セッションが失効し、管理者は再び管理パネルにアクセスできるようになります。 

結論

セキュリティに関しては、私たちは日進月歩の世界に生きています。Magentoが完全に安全であるという保証はありません。しかし、これらのステップに従えば、ハッカーや侵害が発生する可能性はかなり低くなるでしょう。 連絡する と この記事に関するご質問がある場合は、私たちの専門家のMagentoのサポートチーム。インドのMagento開発者を雇う Magento開発サービス.