Security Revolution: configuración y ayuda

Sube e instala el ZIP de Security Revolution en Módulos > "Module Manager". Haz clic en "Configure". El menú es Security Revolution, con Panel de control, Conjunto de tiendas, Monitoreo, Protección, Copia de seguridad y Configuración.

Selecciona la tienda prevista. Abre Configuración > Configuración, revisa los valores predeterminados siguientes y guarda. Añade tu IP administrativa de confianza a IPs en lista blanca antes de realizar pruebas deliberadas de bloqueo. Usa otro navegador/IP no incluido en la lista blanca para esas pruebas. Mantén disponible el acceso al servidor antes de cambiar la protección de inicio de sesión.

Las protecciones de seguridad tienen ámbitos separados. Los controles de formularios/acciones, la protección de capacidad, las cabeceras de seguridad, la autenticación administrativa y una política del servidor de origen aplicada por un operador no se controlan mediante un único interruptor universal.

En Configuración > Configuración, usa las pestañas Configuración, Filtro antispam, Contacto y comentarios y Defensa antibots.

La lista inicial de dominios es:

qq.com
163.com
126.com
sina.com
sina.cn
sohu.com
21cn.com
tom.com
139.com
yeah.net

Los controles de registro incluyen bloqueos, límites de frecuencia, dominios, sistemas de escritura, patrones de nombres y honeypot. Los controles de contacto incluyen bloqueos, el honeypot enviado, límites, frases, nombres y enlaces. Los controles de comentarios incluyen bloqueos, límites, nombres, contenido spam y más de dos enlaces. Un módulo de formularios/comentarios de terceros debe invocar la ruta de integración de PrestaShop correspondiente.

El nombre del honeypot de registro se genera a partir del nombre del módulo. No añadas un CAPTCHA visible ni fijes en el tema un nombre antiguo de honeypot como parte de la configuración normal.

Abre Comportamiento de bloqueo.

En Gestión de IP, IPs en lista blanca está vacío inicialmente. Introduce IP de confianza, una por línea, por ejemplo:

203.0.113.10
198.51.100.25

La lista blanca global omite los controles de solicitudes/acciones del módulo y la admisión de capacidad en PHP. No elimina cabeceras de seguridad ni reescribe una política externa del servidor de origen.

También hay excepciones de lista blanca específicas para carrito, registro, contacto y comentarios. Omiten los límites de frecuencia correspondientes, sin conceder la misma exención amplia que la lista global. Gestiona las acciones de IP desde las herramientas de sesiones/IP donde estén disponibles; no son cuatro campos separados del formulario actual de Configuración.

Los bloqueos pueden ser globales o específicos de una acción, incluidos carrito, inicio de sesión, registro, contacto y comentarios. Comprueba el ámbito antes de quitar un bloqueo o añadir una excepción global.

Usa Configuración > Límites de velocidad por acción. Activar limitación de velocidad está activado por defecto.

Aumenta el límite de una acción solo después de comprobar los intentos bloqueados correspondientes y si varios usuarios reales comparten una dirección.

En Límites globales, "Enable Global Rate Limiting" está activado por defecto, "Requests Per Minute" tiene el valor 60 y "Requests Per Hour" usa 1200.

"Trusted reverse-proxy CIDRs" está vacío inicialmente. Añade un rango de proxy o equilibrador de carga solo cuando PHP vea ese proxy como REMOTE_ADDR. Los rangos de Cloudflare y loopback ya son de confianza. Las cabeceras reenviadas de IP de cliente solo se aceptan de pares de confianza. Una configuración de proxy incorrecta puede hacer que muchos clientes parezcan tener la misma dirección.

La clave interna firewall_runtime_mode tiene el valor predeterminado monitor. El módulo registra las intervenciones propuestas de firewall, bloqueos, límite global y Bot Fight en modo monitor; enforce las aplica y off desactiva esa capa de ejecución. Esta clave no se expone como el antiguo interruptor visible de Configuración. Usa la configuración del soporte/operador para cambiar deliberadamente el modo de ejecución. Los controles de envío específicos por acción siguen activos en modo monitor y pueden rechazar envíos de formularios.

Abre Configuración > Capacidad.

Las páginas servidas desde la caché no consumen una plaza de renderizado. Cuando un carril está lleno, la protección en PHP devuelve HTTP 503 con Retry-After, X-MPR-Capacity: busy y un ticket de reintento. Las solicitudes normales de página reciben una pequeña página de reintento. Los envíos de formularios piden al visitante que vuelva a enviarlos; el cuerpo no se repite automáticamente.

Abre Monitoreo > Rastreadores para inspeccionar el tráfico identificado por nombre. Los nombres de rastreadores del agente de usuario son etiquetas de informes. El módulo no permite autorizar o bloquear una familia de rastreadores solo por ese nombre.

La identidad de los rastreadores de búsqueda e IA se verifica por dirección mediante rangos publicados por el operador o DNS inverso comprobado. Las direcciones verificadas están exentas de limitaciones por dirección y desafíos. Declarar un agente de usuario Googlebot no basta. Los rastreadores verificados siguen generando carga de servidor gestionada por los controles de capacidad.

El módulo no ofrece el antiguo presupuesto de rastreo configurable por rastreador ni el depósito de tokens ponderado por facetas en Redis. Actualmente no hay configuración de "Bucket Capacity", "Single Filter Cost" ni de la antigua respuesta X-MPR-Facet-Limiter. Usa los controles de capacidad reales y la integración de listados compatible.

Abre Monitoreo > Sesiones y su panel de ajustes. Actividad y Tráfico proporcionan informes relacionados de solicitudes y acciones.

Usa los ajustes de "Scoring Points" solo después de inspeccionar los desgloses reales de puntuación.

Otros valores internos predeterminados: contadores de páginas activados, historial detallado de páginas desactivado, 10 puntos para un visitante aún no reconocido como humano, análisis tras 5 páginas vistas y conservación de registros de solicitudes durante 24 horas. La depuración general y la de registro están desactivadas por defecto. No todos estos valores tienen su propio campo en el formulario actual; para cambios temporales de registro, contacta con el soporte.

Abre Protección > Encabezados. Revisa el análisis actual antes de aplicar un preajuste, ya que los preajustes cambian varios valores.

Edita los controles de políticas y fuentes CSP para los dominios que carga realmente tu tienda. La base incluye self y fuentes comunes de PrestaShop, Google y multimedia, pero tus servicios de pago, analítica o integrados pueden necesitar más. Prueba el pago, las fuentes, los medios y los widgets e inspecciona después las infracciones antes de aplicar la política.

Los valores de Permissions-Policy y de las políticas entre orígenes están vacíos por defecto. No todos están disponibles como controles etiquetados en Encabezados.

La gestión de cabeceras de seguridad está activada por defecto. La CSP gestionada también puede reconciliarse en .htaccess. Desactivar Módulo activo no elimina por sí solo esa CSP gestionada por separado. Desactivar o desinstalar el módulo elimina su bloque CSP gestionado de .htaccess y puede fallar si no se completa la limpieza.

Abre Protección > Correo electrónico y su área de configuración.

Guarda e inspecciona después el estado, tipo y datos de destinatario registrados. Las confirmaciones de pedidos, estados de pedido, facturas, abonos y mensajes de creación de cuenta están excluidos del limitador de frecuencia del correo. Esa exención no significa que se eviten todos los fallos de entrega ajenos a ella.

Abre Protección > Monitor de archivos. Crea una referencia solo después de una instalación que sepas que está limpia o de una actualización de confianza. Ejecuta un análisis y revisa los archivos modificados, ausentes, nuevos o sospechosos. Recrea la referencia solo después de verificar los cambios legítimos.

El analizador supervisa classes, controllers, src, override, config y modules para archivos PHP, Smarty, JavaScript y .htaccess. Excluye caché, registros, subidas, imágenes, descargas, bibliotecas de proveedores y node_modules. Una referencia no es un análisis forense completo de todos los archivos.

Abre Protección > Vulnerabilidades para ejecutar las comprobaciones disponibles de versiones y ajustes del servidor.

Abre Copia de seguridad > Configuración antes de crear un archivo.

Si MPR_SECURITY_BACKUP_DIR está definido en el arranque de la tienda, sustituye al directorio editable. Guarda los cambios de directorio antes de trasladar archivos existentes. El proceso de traslado verifica los archivos antes de eliminar los originales.

Usa Copia de seguridad > Copias de seguridad para una copia manual e inspecciona el resultado completado. Usa Almacenamiento para configurar el almacenamiento local. Las copias de seguridad usan almacenamiento local; los destinos FTP, SFTP, S3 y WebDAV no están disponibles. Conserva una copia independiente fuera del servidor mediante tus procedimientos de alojamiento/operaciones.

Abre Copia de seguridad > Programaciones y añade una programación con nombre.

En las nuevas programaciones, las notificaciones de éxito están desactivadas por defecto y las de fallo están activadas. Comprueba los controles de notificación disponibles en el formulario de programación instalado. Una programación activa guardada sigue necesitando el ejecutor descrito a continuación.

Usa Configuración > Tareas programadas para las tareas compartidas y Copia de seguridad > Sistema cron para la configuración/estado del ejecutor de copias. Copia el token real del módulo.

* * * * * php /var/www/html/modules/mprsecurityrevolution/cron.php --token=YOUR_TOKEN --max-tasks=20 --max-seconds=55 --context=cron

Cambia las rutas según tu alojamiento. También se admite la ejecución HTTP:

curl 'https://yourshop.example/modules/mprsecurityrevolution/cron.php?token=YOUR_TOKEN'

Los valores CLI predeterminados son 20 tareas, 55 segundos y contexto cron. Los contextos admitidos son cron, front y admin. El ejecutor por minuto despacha las tareas activas pendientes; cada tarea conserva su propia programación. Estas incluyen copias programadas, limpieza de seguridad/límites de frecuencia/solicitudes/sesiones, trabajo GeoIP, clasificación de visitantes, informes con búfer y mantenimiento de direcciones de rastreadores.

Comprueba la salida del ejecutor y el estado de las tareas. Para las copias, comprueba también que haya un archivo terminado en el directorio privado, porque una copia puede fallar después de que el planificador la inicie.

Abre Configuración > Seguridad de administración. Comprueba el acceso de recuperación antes de activar la aplicación de la autenticación.

Registra tu propio autenticador, verifica un desafío y conserva los códigos de respaldo antes de exigir que todos los empleados se inscriban. Revisa Monitoreo > Registros de seguridad de administración.

Para un operador con acceso al servidor, la utilidad de recuperación instalada admite:

php modules/mprsecurityrevolution/bin/admin-security-escape.php --clear-lockouts
php modules/mprsecurityrevolution/bin/admin-security-escape.php --disable-enforcement

--all combina ambas opciones. Usa la utilidad instalada e inspecciona su resultado; la recuperación cambia la aplicación de la autenticación y debe ir seguida de una reconfiguración.

El formulario adicional Protección del origen guarda una política de servidor deseada. No la despliega. Admite una tienda con URL en la raíz, un mismo host HTTP/HTTPS compartido y este módulo como responsable activo del firewall. Esta política de origen no admite multitienda, URL fuera de la raíz ni varias URL activas de tienda.

Ningún umbral de política se activa automáticamente. Elige Modo de protección del origen y Modo de tasa compartida del pool como Observar o Imponer. Rellena Total de workers de 3 a 64, igual a la suma de los trabajadores de todos los grupos.

Configura los tres grupos: Pool público, Pool interactivo de proceso de compra, cuenta y pago y Pool de administración, descargas y operaciones largas. Cada uno tiene:

Un operador debe aplicar por separado la política y cualquier despliegue de trabajadores/plazos. Un comprobante de aplicación coincidente registra la última aplicación, no el estado continuo del servicio. Exporta o importa la política deseada completa con:

php modules/mprsecurityrevolution/bin/origin-protection.php export
php modules/mprsecurityrevolution/bin/origin-protection.php import < complete-policy.json

Ninguno de los comandos despliega el servidor. Los límites compartidos de frecuencia del grupo cubren todas sus direcciones y URL sin exenciones por cookies o agente de usuario.

Prueba primero un envío controlado de registro y contacto. Inspecciona Protección > Bloqueado para conocer tipo, motivo, IP, correo disponible, datos y fecha/hora. Los motivos pueden incluir límites de frecuencia, dominios bloqueados, honeypot, nombres no latinos, nombres sin sentido, IP bloqueadas, palabras clave de spam y exceso de enlaces.

Prueba la capacidad en Solo supervisión antes de ajustar límites en una tienda con mucho tráfico. Distingue la respuesta 503 en PHP de los errores de límite por IP o de formularios. Comprueba la configuración de IP reenviada si muchos visitantes comparten una misma IP aparente. Comprueba los datos de direcciones verificadas antes de considerar fiable la etiqueta de un rastreador.

Si faltan datos, revisa el seguimiento de sesiones, las exclusiones de IP internas, la conservación y los resultados de cron. Si se bloquea a clientes reales, inspecciona la regla exacta y su ámbito antes de añadir excepciones. Para problemas de cabeceras, inspecciona las cabeceras de respuesta, las infracciones CSP y el estado de .htaccess gestionado. Para fallos de copias, comprueba la ruta privada efectiva, los permisos tanto de PHP como de CLI, el espacio disponible y el error de la tarea.

Usa Configuración > Integridad para comprobar la instalación. Mantén PrestaShop y los módulos actualizados y conserva copias probadas fuera de la tienda; los análisis y los archivos locales del módulo no sustituyen esas operaciones.

Exporta los registros y copia las copias de seguridad que necesites antes de desinstalar. Revisa por separado cualquier política del servidor de origen desplegada por un operador, porque guardar o quitar el módulo no equivale a cambiar la topología del servidor.

Desactiva/desinstala mediante "Module Manager" solo después de comprobar la limpieza de la CSP gestionada. La desinstalación elimina las tablas propias del módulo y las tareas programadas; el paquete compartido gestiona la limpieza compartida de sesiones/páginas vistas. No supongas que sobrevivan los registros y la configuración del módulo. Conserva los archivos privados de copia de seguridad de forma independiente antes de quitar los archivos del módulo.

Requiere PrestaShop 1.6.1 o posterior y PHP 7.1 o posterior.