El Blog de Oscommerce

He publicado en mi blog personal una guía básica para securizar tiendas virtuales Oscomemmerce. Aquí os dejo una copia de la guía para el que quiera consultarla. Mi pequeño regalo de reyes para la comunidad Oscommerce. Espero que os guste

Con las fiestas de navidad no sólo suben las ventas de las tiendas virtuales, también se multiplican los ataques a las mismas. Me han preguntado mucho últimamente sobre cómo proteger una tienda virtual, así que vamos a dar algunas pistas. En este post en concreto nos basaremos en cómo securizar y proteger una tienda virtual Oscommerce, pero muchas de las aplicaciones son extensibles a otros scripts.

1- Versión actualizada y control de plugins, contribuciones y addons instalados.

Es importante estar lo más actualizado posible en la versión de Oscommerce que actualicemos. Actualmente tenemos disponible Oscommerce v2.3.1 pero teniendo la v2.2RC2a es suficiente. Una versión inferior a la v2.2 sería preocupante. Igualmente tenemos que tener cuidado con las contribuciones, plugins y addons que instalamos, ya que pueden tener fallos de seguridad que ni siquiera el mismo creador de la contribución conozca. Ante la duda mejor no instalarla, y si no se tienen conocimientos de programación intentad instalar contribuciones que sean populares (muy utilizadas y testeadas) y revisad en google y foros oficiales si se conoce algún problema en ellas.

2- Corrección de Bugs básicos.

Existen listados de bugs básicos de Oscommerce (la mayoría antiguos) que deben ser corregidos para aumentar la seguridad del mismo. Normalmente no son realmente peligrosos, más bien incómodos de cara al usuario final, pero conviene tenerlos controlados.  En Oscommerce.com tenemos un listado de reportes de bugs, además de los foros oficiales en inglés donde más se tratan estos temas. A día de hoy la versión v2.2RC2a la considero lo suficientemente segura, aunque debemos aplicar el siguiente punto para reforzar su seguridad.

3- Dificultad el acceso al admin.

Para acceder al administrador de Oscommerce por defecto se accede a la carpeta /admin, donde te pedirá usuario y contraseña. Además del sistema de usuarios de Oscommerce deberíamos renombrar la carpeta /admin por otro nombre (y adaptar el correspondiente configure del administrador) y añadir una clave de acceso protegiendo la carpeta vía hosting. Estos sencillos pasos multiplican la seguridad de tu tienda virtual, no los dejes pasar.

4- Eliminar el editor de archivos del administrador de oscommerce.

Si por cualquier motivo acceden a nuestro admin, con el editor de archivos tendrían acceso completo a los archivos de nuestro Oscommerce. Es mejor eliminar directamente el archivo, sin más complicaciones. Los que necesiten modificar archivos deberían usar una cuenta de ftp.

5- Control de acceso al administrador por IP.

Con tu .htaccess puedes limitar el acceso al área de administración a una IP determinada. Si tienes IPs fijas esta medida es realmente efectiva, ya que imposibilita el acceso si no te encuentras físicamente en el equipo con dicha IP de conexión.

6- Denegación de acceso selectiva.

Pequeñas reglas de seguridad, ya sea en tu firewall (el del servidor web) o a través de tu .htaccess, pueden evitar ataques de forma sencilla. Uno de los ataques más básicos y redundantes es la captura de una clave ftp desde el ordenador del usuario. El servidor web está limpio pero el atacante obtiene acceso directamente desde el equipo del administrador de la tienda virtual. Una vez una tienda está en producción se puede bloquear el servicio ftp a dicho dominio hasta que se vuelva a necesitar, pero esta medida es un poco extrema. En principio basta con tener un antivirus actualizado y tener un poco de cabeza usando el pc con el que nos conectamos a nuestra tienda virtual.

7- Backups actualizados.

Y si todo falla, siempre debemos tener backups actualizados de todos los datos de nuestra tienda virtual. Configurad un sistema de backups automatizado y dormiréis más tranquilos.
Espero que esta pequeña guía básica sobre cómo securizar y proteger Oscommerce os sea de utilidad y os ayude a proteger vuestras tiendas virtuales de forma sencilla y efectiva.

Fuente: proteger y securizar una tienda virtual Oscommerce

Con esta contribución podréis programar backups automáticos que se realizarán desde el admin de vuestro Oscommerce sin interrumpir vuestro trabajo normal con el panel de administración. Sólo hay que tener en cuenta que hay que utilizar Cron job (en linux) para utilizar la contribución a su máximo rendimiento. Muy recomendable para los fanáticos de los backups

Descargar Contribución AutoBackup Database in Admin

Mi amigo Jordi Oller me recuerda que en su blog (recomiendo leerlo) tiene un post sobre seguridad en Oscommerce que resulta muy adecuado como segundo nivel de protección, aunque ahora sí que empezamos a meternos más en temas técnicos de programación. Aquí os dejo el post completo y el link al original.

Como cualquier tipo de software, Oscommerce es susceptible de sufrir ataques aprovechando vulnerabilidades en su programación. Para intentar evitar en la medida de lo posible este tipo de problemas voy a daros una serie de consejos sencillos para aumentar la seguridad de vuestra tienda virtual Oscommerce.

1 – Abrir un navegador para trabajar exclusivamente con el administrador de Oscommerce.

Así evitaremos cualquier tipo de intento de captura de sesión o de inyección de código. No uses pestañas ni guardes la sesión cuando cierres el navegador.

2 – Proteger el directorio admin con un password a nivel de servidor.

Así tendremos que loguearnos tanto a nivel de servidor como a nivel de Oscommerce, con lo que aumentaremos la seguridad.

3 – Revisar cada contribución que instalemos.

Cualquier contribución puede tener vulnerabilidades y dejar puertas abiertas, centraos en usar las más conocidas y testeadas, y ante la duda no instalarla.

4 – Instalar la contribución Virtual Keybooard tanto en parte pública como en el login de administración de Oscommerce. Evitaremos posibles keyloggers.

Con estos 4 sencillos consejos lograremos aumentar sensiblemente la seguridad de nuestra tienda virtual Oscommerce.

La seguridad es un tema de vital importancia cuando hablamos de tiendas virtuales. Oscommerce, aunque con una programación que comienza a quedarse algo desfasada, siempre ha destacado por su seguridad. Es posiblemente uno de los scripts Open Source con menos bugs de seguridad, y la enorme comunidad de la que dispone siempre los ha parcheado rápidamente. Pero nunca está de más mejorar en lo posible la seguridad de nuestras tiendas virtuales Oscommerce.

Para ello vamos a explicar cómo agregar un teclado virtual en Oscommerce. De esta manera, cuando un cliente quiera loguearse tendrá la opción de escribir la contraseña utilizando su teclado o mediante el ratón utilizando un teclado virtual en pantalla. Esta medida de seguridad fue adoptada hace ya algunos años por muchas webs, sobre todo por las webs de entidades bancarias. El objetivo es evitar que ordenadores infectados con keyloggers (programitas que graban todas las pulsaciones de un teclado y luego mandan los datos al atacante) obtuvieran las claves de acceso a dichas webs, ya que al no usar el teclado físico para introducir la contraseña no registrarían nunca dicha clave de acceso.

A principios de este año subí a la web oficial de Oscommerce una contribución a la que llamé virtual keyboard, que permite en 3 sencillos pasos agregar un teclado virtual en el campo password de la pantalla de login de Oscommerce. El proceso de instalación dura menos de un minuto, y os permitirá también poner un teclado virtual en cualquier campo de un formulario de Oscommerce que necesitéis. El teclado virtual es configurable según el idioma, y se le puede cambiar el aspecto mediante estilos.

Contribuciones:

- virtual keyboard.