PrestaShop Security Audit & Hardening Report

PrestaShop Security Audit è un servizio di audit di sicurezza per i negozi PrestaShop, in cui uno specialista esamina il negozio come farebbero insieme un attaccante e un revisore, e trasforma il risultato in un rapporto con voto e correzioni ordinate. Si installa, e il primo esame completo parte da un pulsante nel back office.

Affronta il rischio più cieco del commerciante: uno skimmer di carte non rallenta nulla e non rompe nulla, sta in un modello o in uno script, copia ciò che i clienti digitano nel modulo di pagamento e continua finché qualcuno non legge il codice. Lo stesso silenzio nasconde account amministratore dimenticati, configurazioni leggibili dal mondo, copie di sicurezza raggiungibili dalla strada e moduli con debolezze pubblicate.

Un clic avvia l'intero esame, e ogni area va in profondità. I file del nucleo e dei moduli vengono confrontati con versioni sane conosciute per far emergere codice iniettato o modificato in silenzio, modelli e script vengono ispezionati alla ricerca di carichi estranei e mascherati, e la base dati viene rivista: account amministratore creati di recente, privilegi stantii. I moduli installati vengono confrontati con gli avvisi di sicurezza pubblicati, e la superficie esterna del negozio viene provata dall'esterno: file di installazione e copie dimenticate, tracce di sviluppo, pagine di prova rivelatrici, elenchi di cartelle aperti e la protezione dell'ingresso amministrativo, ciascuno confermato davvero raggiungibile e non solo presente. Le impostazioni che decidono l'esposizione chiudono il quadro: cifratura forzata, protezione dei cookie di sessione, freno agli accessi, uscita di debug lasciata accesa.

Il rapporto dà un punteggio, un voto e rilievi ordinati per gravità, ciascuno con il significato e il passo esatto di irrobustimento, e le prove di una compromissione attiva vengono segnalate per prime, con i passi di contenimento. Le corrispondenze incerte si dichiarano incerte invece di gridare al lupo, e un controllo che fallisce segnala se stesso invece di sparire. Ogni esecuzione resta nella storia con punteggio, voto e totali, gli esami si ripetono con la cadenza che fissi tu e i rilievi ti raggiungono per e-mail, e nulla del tuo negozio lascia mai il tuo server: l'esame è locale, la via dei dati in sola lettura, e le autoprove chiamano soltanto i tuoi indirizzi. Le agenzie collegano molti negozi in una vista di flotta tramite una connessione firmata e limitata dal consenso.

Uno skimmer diventa un rilievo invece che un titolo di giornale, l'elenco degli irrobustimenti si ordina per gravità invece che per ansia, e il questionario di sicurezza della banca riceve una storia datata e con voto invece di un'alzata di spalle.