Bezpieczeństwo sklepu internetowego – podstawy, o których nie wolno zapominać

W skrócie

Bezpieczeństwo sklepu internetowego opiera się na kilku podstawowych zasadach, które chronią dane klientów i ciągłość sprzedaży.

Najważniejsze są regularne aktualizacje, kopie zapasowe i bezpieczne logowanie z uwierzytelnianiem dwuskładnikowym.
Dostępy i uprawnienia powinny być ograniczone do niezbędnego minimum.
Warto mieć przygotowany plan działania na wypadek incydentu.

Sklep internetowy przetwarza dane osobowe klientów i obsługuje płatności, więc jest atrakcyjnym celem ataków. Większość incydentów nie wynika jednak z wyrafinowanych włamań, lecz z zaniedbań: nieaktualnych wtyczek, słabych haseł czy braku kopii zapasowych.

Aktualizacje

Aktualizuj regularnie platformę, wtyczki, motywy i oprogramowanie serwera. Nieaktualne rozszerzenia to jedna z najczęstszych dróg ataku. Przed większymi aktualizacjami wykonaj kopię zapasową, a zmiany najlepiej testuj na środowisku testowym.

Kopie zapasowe

automatyczne i regularne – baza danych częściej niż pliki,
przechowywane poza serwerem sklepu,
okresowo testowane – kopia, której nie da się odtworzyć, nie chroni przed niczym.

Logowanie i uprawnienia

Silne, unikalne hasła i menedżer haseł dla zespołu.
Uwierzytelnianie dwuskładnikowe (2FA) dla kont administracyjnych.
Osobne konta dla każdej osoby i wykonawcy – bez współdzielenia loginów.
Uprawnienia ograniczone do zakresu pracy danej osoby.
Usuwanie dostępów osób, które zakończyły współpracę.

Szyfrowanie i infrastruktura

Certyfikat SSL i wymuszenie połączeń HTTPS to dziś standard. Warto także korzystać z hostingu z ochroną przed atakami, zaporą aplikacyjną (WAF) i monitoringiem dostępności.

Płatności

Obsługę danych kart najlepiej pozostawić operatorowi płatności – klient płaci na stronie lub w module bramki, a sklep nie przechowuje danych kart. To znacząco ogranicza ryzyko i obowiązki po stronie sklepu.

Plan na wypadek incydentu

Ustal, kto odpowiada za reakcję, gdzie są kopie zapasowe, jak skontaktować się z hostingiem i wykonawcą oraz jakie obowiązki informacyjne mogą wynikać z przepisów o ochronie danych osobowych.

Najczęstsze pytania

Jak najczęściej dochodzi do włamań do sklepów internetowych?

Najczęściej przez nieaktualne wtyczki i oprogramowanie oraz słabe lub wykradzione hasła do kont administracyjnych.

Jak często robić kopię zapasową sklepu?

Bazę danych najlepiej codziennie lub częściej przy dużej liczbie zamówień, a pliki regularnie i przed każdą większą zmianą. Kopie trzeba przechowywać poza serwerem i okresowo testować.