Ghid magazin online

[lovelife]

Trebuie sa ai un plan de rezerva pentru furnizori neseriosi, pentru curierul care nu poate la un moment dat sa isi faca treaba. - In acel moment nu prea aveam cum sa am furnizori neseriosi, nu stiu care mai este acum situatia. Aveam 5-6 furnizori, insa aveau jucarii diverse. La curier am avut contract cu 2 firme de curierat. Unul il foloseam mereu, celalalt era back-up.

Nu era pentru tine, doar un fel de completare la primul post

[laufer]

Ok, eu tot am raspuns. Scuzele mele daca te-a deranjat.

[lovelife]

Ok, eu tot am raspuns. Scuzele mele daca te-a deranjat.

Nu ai deranjat pe nimeni

[Sorin Frumuseanu]

Descrieri nu primeam de la distribuitori. Doar poze, si descrierile le luam de pe site-ul lor si le modificam.

P.S.: Ma simt ca la interogatoriu. Dar nu-i nici o problema. Sper sa ajute pe cineva aceste posturi. As mai incerca odata, dar nu pe jucarii ca au aparaut ca ciupercile dupa ploaie.

Doamne feri de interogatoriu Stiu in mare parte raspunsurile la intrebari si doar incerc sa le deschid ochii managerilor de magazine care vor seo la kilogram. In masura in care ai timp... comunitatea iti va ramane datoare.
Dupa ce le fac planul de actiuni, de regula incearca sa taie si vin cu idei gen "pun un baiat din firma sa scrie acolo", de regula acel baiat neavand idee ce rol are textul. Si viseaza performanta...

Continuam?
Descrieri produse: Un timp/produs ca sa concepi un text cat de cat original, destul de diferit de o jucarie similara, cu densitati ok de cuvinte cheie?

[laufer]

Din pacate nu mai stiu aceste detalii, le-am uitat. Mi-au trecut prea multe alte proiecte prin mana de atunci si nu mai tin minte. Chiar m-am uitat si in db sa vad daca mai am ceva, insa din cate vad le-am sters. :-s Sorry ca nu te pot ajuta cu aceste detalii.

[Robert]

Domnilor, mii de multumiri.
Alte aspecte de luat in seama?

[gupi]

Salutare

pot sa te ajut cu niste idei de securitate, idei pe care le-am publicat si pe lista de comert electronic.

Asadar:

- asigurati-va resurse garantate
Conceptul de gazduire comuna - sau shared hosting - este inca cea mai raspandita modalitate de a asigura resurse web ieftine pentru site-uri web fara pretentii;
Riscurile acestei solutii pentru un magazin online sunt cumva similare cu cele ale unui "boutique" la parterul unui bloc.
E suficient ca unul din locatari sa lase apa deschisa si intregul magazin e compromis.
In online, situatia este chiar mai riscanta, deoarece nu va veti cunoaste niciodata "vecinii" si apucaturile lor.

Desi solutia e mai scumpa, incercati sa puneti magazinul dumneavoastra pe un server dedicat (fie el fizic sau virtual).
Resursele disponibile vor fi alocate numai magazinului dumneavoastra si le veti putea controla in totalitate;

NOTA:
daca nu aveti posibilitatea achizitionarii unui server dedicat, cereti cel putin o adresa IP dedicata pe serverul de gazduire.
Adresa IP unica este un pas obligatoriu pentru instalarea certificatului SSL de protejare a magazinului (vezi mai jos).
====================================

- instalati un certificat SSL
In cazul site-urilor neprotejate de certificate SSL, toate informatiile vehiculate intre vizitatori si site sunt
transmise in text clar, inclusiv datele de autentificare sau cele financiare. Acesta este un risc major de securitate,
deoarece -tehnic- este posibil ca datele sa fie interceptate de terte persoane si folosite in alte scopuri.
Instalarea unui certificat SSL pe site va duce la criptarea tuturor informatiilor vehiculate inspre si dinspre magazinul online,
facand quasi-imposibila descifrarea datelor de alte persoane.

Putem imparti certificatele SSL in trei mari categorii:
- domain validation
- organization validation
- extended validation (EV)

Primele certificate sunt cele mai ieftine, si asigura -pe langa criptare- si o verificare a validitatii domeniului,
printr-o verificare efectuata de obicei printr-un email trimis proprietarului.
Certificatele cu validare de organizatie sunt mai scumpe, fiind verificata si organizatia ce detine domeniul web.
Certificatele de tip EV sunt folosite in special in domeniile bancare si presupun verificari extrem de amanuntite
inainte de emitere. Site-urile protejate de certificate EV sunt prezentate diferit in browsere (de obicei bara de adrese se coloreaza in verde).

OBSERVATIE: devreme ce criptarea informatiilor consuma resurse suplimentare din partea serverului,
unele site-uri forteaza utilizarea paginilor securizate doar pentru sectiunile sensibile (autentificare, plata),
pastrand accesul nesecurizat pentru accesul unde certificatul SSL nu este absolut necesar (de exemplu rasfoirea catalogului de produse).
====================================

- mentineti suprafata de atac cat mai mica (minim de porturi deschise)
Intr-o situatie de extrema, securitate, as vedea un magazin online accesibil doar prin portul 443 (acces securizat HTTPS).
In practica insa, este necesara deschiderea mai multor porturi de acces la serverul magazinului online
(mail, DNS, interfete specializate de administrare, etc).
Limitati pe cat posibil numarul porturilor deschise pe serverul magazinului online si OBLIGATORIU - protejati-le cu un firewall.
====================================

- implementati solutii IPS/IDS
IPS = intrusion prevention system
IDS = intrusion detection system
Cea mai simpla forma de IPS pe care o folosesc in acest moment este un modul al firewall-ului,
modul ce blocheaza accesul de la adrese IP care forteaza accesul SSH pe un server cu mai mult de 5 parole eronate in 300 de secunde.
Solutiile insa pot fi mult mai complexe si cu costuri corespunzatoare.
====================================


====================================
- folositi software verificat si verificabil
La alegerea infrastructurii software pentru magazinul online, alegeti solutii verificate si verificabile de auditori externi.
Personal am mai mare incredere intr-un produs open-source (chiar daca are performante mai slabe) cu vulnerabilitati testate si publicate (Secunia),
decat intr-un magazin dezvoltat la comanda si pentru care nu am nicio informatie in afara celor furnizate de dezvoltator.
(nota: nu vreau sa fiu gresit inteles, nu este o opinie radicala in favoarea produselor open source, dar asta e alta discutie)
====================================


====================================
- protejati-va aplicatia web
In cazul aplicatiilor web, un atac de tip XSS sau SQL injection nu va fi detectat de firewall, deoarece se desfasoara la un alt nivel,
iar firewall-ul va considera atacul ca fiind trafic legitim. Protejarea aplicatiilor web se face cu aplicatii specializate
(de exemplu pentru serverele web Apache exista "mod_security", care blocheaza accesul la aplicatia web
in cazul unor cereri suspecte sau ce urmeaza tipare cunoscute de atac)
====================================


====================================
- faceti backup
Nu e loc de prea multe comentarii; magazinul dumneavoastra online valoreaza exact atat cat investiti in solutiile de backup
====================================


====================================
- testati restaurarea din backup
Mult mai important decat backup-ul in sine este procesul de restaurare.
Degeaba faceti backup pe banda tinuta in seif la banca, daca la restaurare nu mai puteti reface situatia dinainte de eveniment.
Testele regulate de restaurare sunt oricand binevenite.
====================================

[Sorin Frumuseanu]

Superfain, aplicabil nu doar pt magazine online.

Am deschis un subiect pe tema securitate website. Poti posta acolo firme care se ocupa cu asa ceva? Tks

[laufer]

- testati restaurarea din backup
Mult mai important decat backup-ul in sine este procesul de restaurare.
Degeaba faceti backup pe banda tinuta in seif la banca, daca la restaurare nu mai puteti reface situatia dinainte de eveniment.
Testele regulate de restaurare sunt oricand binevenite.

Asta chiar trebuie tinuta minte. Chiar aseara am sters ceva din db din greseala si imi injuram toate neamurile "de la gradul II in sus" ca nu reuseam sa refac db-ul.

[evolution]

Mai adaug si eu unele:

Limitare acces login numai pe 1-2 IP-uri statice
Mutare port SSH de pe cel default pe altul
Folosire cheie privata la acces SSH
Dezactivare permanenta porturi http pentru cpanel, WHM , se lasa doar cele https
Dezactivare porturi folosite temporar (ex portul WHM) si folosire numai cand e necesar

O lista cu porturi CPanel WHM .

PS stiti vreun software de facut backup db de pe server pe pc, fara sa ma mai loghez in cpanel ? Voi cum faceti cu backup-urile?