Тестирование безопасности и соответствие требованиям
Magento и безопасность по PCI
Магазины на Adobe Commerce и Magento обрабатывают данные карт в рамках требований PCI DSS 4.x и при этом работают на сложных стеках PHP с панелями администратора, которые обожают атакующие. Безопасность Magento уровня соответствия — обновлённый код, закрытые пути администрирования, контроль целостности файлов, минимизация данных карт и готовые к проверке следы доказательств.
Главное
- Обновлять Magento, PHP и расширения за дни: CVE витрины становятся оружием очень быстро.
- Скрыть путь администратора и ограничить его по адресам, сменив имя относительно стандартного.
- Требовать 2FA у каждой учётной записи администратора без исключений, плюс белые списки адресов.
- Минимизировать работу с данными карты: поля на стороне платёжного сервиса и перенаправляющие схемы лучше, чем хранение PAN.
- Следить за целостностью файлов приложения и уведомлять о неожиданных изменениях.
- Журналировать действия администраторов централизованно, с хранением, устойчивым к подмене.
- Держать все магазины за виртуальным патчированием на WAF между циклами обновлений.
- Документировать всё раз в квартал: доказательства по PCI — это рутина, а не аврал.
Частые вопросы
Какой уровень PCI применим к небольшим магазинам?
Зависит от объёма операций и способа обработки. Интеграции с полями на стороне платёжного сервиса резко сокращают объём требований и нагрузку.
Как часто нужно обновлять Magento?
Выпуски с исправлениями безопасности — за дни. Популярность платформы делает промедление дорогим.
Подходит ли виртуальный хостинг под требования PCI?
Только при изоляции (CageFS, LVE), усиленных базовых мерах и доказательствах. Оценивается по каждой среде и никогда не предполагается.
Что чаще всего проваливает проверку PCI?
Не обновлённые компоненты, общие учётные данные администратора, отсутствие 2FA и отсутствие журналов. Ровно эти четыре пункта, в каждом цикле.
Как мы берём на себя тестирование безопасности и соответствие требованиям
Вам не обязательно становиться экспертом в тестирование безопасности и соответствие требованиям: Тесты на проникновение, сканирование уязвимостей, аудит и практики, согласованные с GDPR, которые доказывают должную осмотрительность. Именно для этого и существует наша услуга Тесты на проникновение и Безопасность серверов Linux — настройка, усиление защиты, мониторинг и живой человек на связи днём и ночью.