Sicurezza e-commerce: messa in sicurezza, monitorata, difesa
Il lavoro di sicurezza che la maggior parte degli sviluppatori salta: mettere in sicurezza il negozio e il server sotto, intercettare gli attacchi prima che se ne accorgano i clienti, ripulire quando qualcosa passa. Faccio sicurezza come parte delle operations, non come ripensamento.
- Messa in sicurezza del negozio
- Cartella admin PrestaShop rinominata e protetta, password forti e 2FA per gli amministratori, audit dei moduli, rimozione di quelli inutilizzati, core aggiornato.
- Messa in sicurezza del server
- Patch con calendario, SSH solo a chiave, firewall e fail2ban tarati, TLS tenuto aggiornato, utenti di sistema e permessi rivisti.
- Web application firewall
- ModSecurity con l’OWASP Core Rule Set, tarato per PrestaShop e WHMCS così il traffico legittimo non viene bloccato e gli attacchi sì.
- Monitoraggio e avvisi
- Tentativi di login, modifiche admin, integrità dei file, salute dei servizi e scadenza TLS sorvegliati. Vedo i problemi prima dei clienti.
- Backup che si ripristinano davvero
- Off-site, cifrati e testati periodicamente in ripristino su uno staging. Un backup mai ripristinato non è un backup.
- Risposta agli incidenti
- Quando succede qualcosa, isolo il sistema, lo ripulisco, trovo il punto d’ingresso, chiudo il varco e scrivo cosa è successo. Per la bonifica d’emergenza c’è una landing dedicata.
- Responsabile della sicurezza per i tuoi sistemi
- Per i clienti con contratto di manutenzione faccio da responsabile della sicurezza nominato: una persona sola e responsabile che conosce il negozio, il server e la storia.
- Protezione email e DNS
- SPF, DKIM e DMARC configurati e mantenuti in PASS, così il tuo dominio è più difficile da falsificare e la tua posta transazionale arriva ai clienti.
Un e-commerce viene attaccato ogni giorno, quasi sempre da scansioni automatiche e credential stuffing, ogni tanto da qualcuno che sa quello che fa. La risposta giusta non è un singolo prodotto: è un insieme di abitudini applicate a quel negozio, al server sotto, e alle persone che hanno accesso a entrambi. Queste abitudini le applico ai negozi che costruisco e a quelli che arrivano dopo un incidente, e faccio da responsabile della sicurezza per i sistemi che tengo online.
Lavoro prima in difesa: aggiornamenti, firewall, controllo accessi, backup, monitoraggio, risposta agli incidenti. Quando un cliente chiede una verifica offensiva sul suo negozio o sulla sua infrastruttura, la faccio, con un’autorizzazione scritta che definisce perimetro e date: c’è una pagina dedicata.
Domande, con risposta
Che differenza c’è tra questa pagina e quella "sito hackerato"?
Questa pagina parla di tenere il negozio al sicuro prima che succeda qualcosa, e di gestirlo in modo sicuro ogni giorno. La pagina "sito hackerato" è per le emergenze, quando qualcosa è già successo.
Fai anche penetration test?
Sì, su richiesta del proprietario del sistema e con autorizzazione scritta che definisce perimetro e date. Vedi la pagina dedicata ai penetration test.
Puoi essere il nostro responsabile della sicurezza nominato per un modulo di compliance?
Per i clienti con contratto di manutenzione continuativa, sì. Sono la persona che vede ogni giorno il server e il negozio: ha senso solo se il rapporto è reale.
E per il PCI DSS?
Se i pagamenti passano da un gateway esterno (Stripe, PayPal, Nexi, Setefi, Scalapay) il negozio rientra nell’ambito SAQ A, il più leggero. Ti aiuto a tenere il negozio configurato in modo che resti in quell’ambito, e preparo le risposte tecniche al questionario.
Lavori collegati
Per approfondire
Dimmi cosa non funziona, o cosa non parla con cosa.
Un progetto nuovo, un sistema da salvare, un’integrazione, l’adeguamento alle norme UE (recesso, GPSR, accessibilità). Un solo sviluppatore che lo costruisce e resta a gestirlo. Rispondo entro un giorno lavorativo.
Preferisci l’email?
luca@cavallini.net