Webshop biztonsági ellenőrzőlista élesítés előtt

Ezek a pontok a saját webshopjában vagy tesztkörnyezetében ellenőrizhetők, többségük a fejlesztő közreműködésével. Idegen oldalt engedély nélkül ne próbáljon ki. A lista nem helyettesíti a behatolástesztet, de sok egyszerű hibát megelőz.

Egyoldalas, nyomtatható változat (PDF)

Fiókok és belépés

• Kétlépcsős azonosítás minden adminisztrátori fiókon.
• Korábbi fejlesztők és ügynökségek fiókjai törölve, közös admin fiók nincs.
• Korlátozott belépési próbálkozás, és az admin felület nem hirdeti, létezik-e a megadott fiók.
• A jelszó-visszaállító link rövid ideig él, és csak egyszer használható.

Vásárlói adatok

• Két tesztfiókkal: az egyik fiókból nem nyitható meg a másik rendelése, számlája vagy címe.
• A számla- és rendelési letöltések belépés nélkül nem érhetők el.
• Csak a szükséges adatokat tárolja, és a bankkártyaadat a fizetési szolgáltatónál marad.

Rendelés és fizetés

• A fizetési visszaigazolást a szerver ellenőrzi; a böngészőből küldött ár vagy állapot nem elég.
• Negatív vagy nulla darabszám nem fogadható el.
• Kupon nem váltható be korlát felett, és a rendelés nem véglegesíthető fizetés nélkül.

Szoftver és kitett fájlok

• A rendszer, a téma és a bővítmények frissítve; a nem használt bővítmények törölve.
• A mentések, a .env és a .git, a telepítési és tesztfájlok nem érhetők el a webről.
• A hibaoldal nem mutat műszaki részleteket, a hibakereső mód ki van kapcsolva.

Szerver és e-mail

• Mindenhol HTTPS, érvényes tanúsítvánnyal és alapvető biztonsági fejlécekkel.
• SPF, DKIM és DMARC beállítva.
• Rendszeres, a szervertől elkülönített mentés, kipróbált visszaállítással.
• Naplózás, és tudja, kit kell hívni baj esetén. Személyesadat-incidensnél a NAIH felé 72 órás határidő lehet.

Mikor nem elég a lista?

Ha sok a saját fejlesztés, több szerepkör van, vagy nagyobb változás jön, érdemes független szakértővel is megnézetni. Így végezzük a webes behatolástesztet; az árat befolyásoló tényezőket itt foglaltuk össze.