Панель адміністратора Magento – це центр для обробки замовлень, налаштування списків товарів, управління клієнтами тощо. Таким чином, якщо безпека адміністративної панелі буде скомпрометовано, ви наражаєте на небезпеку не лише свої конфіденційні дані, але й дані ваших клієнтів.
Отже, вам потрібно захистити свою адміністративну панель, перш ніж буде завдано будь-якої шкоди. Саме тут вступає в гру двофакторна автентифікація Magento, щоб запобігти ризикам безпеки та захистити ваші дані.
У цьому посібнику ви знайдете все, що потрібно знати, щоб увімкнути, керувати та використовувати двофакторну автентифікацію в повній мірі.
Що таке двофакторна автентифікація Magento?
The Двофакторна автентифікація (2FA) Magento – це вбудований механізм безпеки, який використовує два фактори автентифікації для доступу до панелі адміністратора.Щоб завершити двофакторну аутентифікацію (2FA), вам знадобиться щось, що ви знаєте (пароль), і щось, що у вас є (токен доступу) або чим ви є (відбитки пальців, Face ID тощо).
Це означає, що, Окрім пароля, адміністраторам також потрібно зробити ще один крок для підтвердження своєї особиТобто, ввести код доступу, підтвердити вхід на іншому пристрої, пройти автентифікацію за допомогою біометричних даних тощо.
У цьому випадку, навіть якщо пароль буде зламано, зловмисникам доведеться подолати ще один бар'єр.
Двофакторна автентифікація Magento додає додатковий рівень безпеки до вашої адміністративної панелі, гарантуючи, що вона зможе витримувати атаки методом перебору, якщо такі виникнуть. 2FA може бути не найзручнішим механізмом з точки зору користувача, але додатковий рівень безпеки вартий зусиль.
Переваги двофакторної автентифікації Magento
Двофакторну автентифікацію Magento 2 досить легко налаштувати та запустити. Однак це не применшує важливості та переваг, які вона пропонує в довгостроковій перспективі.
Додатковий рівень безпеки
Одна з ключових переваг двофакторної автентифікації – це додатковий рівень безпеки, який вона додає. Таким чином, імені користувача та пароля недостатньо для доступу до панелі адміністратора. Користувачам доводиться виконувати ще один крок для автентифікації.
Таким чином, навіть якщо пароль якимось чином буде викрадено, зловмисники не зможуть одразу потрапити до адміністративної панелі. Двофакторна аутентифікація (2FA) допоможе їм зупинити це.
Економічно ефективне впровадження
Magento пропонує функцію двофакторної автентифікації одразу після встановлення, тому вам не потрібно платити додатково за її налаштування та роботу. Крім того, він інтегрує різних постачальників послуг автентифікації, як платних, так і безкоштовних.
Відповідно, ви можете обрати варіант, який найбільше відповідає вашому бюджету. Безкоштовні сервіси виявилися не менш ефективними, ніж платні. Тож ви можете налаштувати 2FA, не доплачуючи взагалі.
Захист даних клієнтів та замовлень
Ваша адміністративна панель зберігає багато конфіденційних даних, включаючи особисту інформацію клієнтів, замовлення та платіжні реквізити. Ваш обов'язок — зберігати ці дані в безпеці та запобігати їх витоку.
Двофакторна автентифікація Magento сприяє цьому завданню та створює безпечніше середовище для ваших клієнтів.
Відповідність стандартам безпеки
Як продавець, ви повинні дотримуватися заходів безпеки, розроблених для магазинів електронної комерції, а також інших правил, що стосуються захисту даних клієнтів.
Крім того, можуть існувати додаткові вимоги безпеки на рівні компанії, які стосуються саме вашого бізнесу.
Як ви могли здогадатися, Magento 2FA – один із найпоширеніших способів дотримання правил. Технологія, яку вона використовує, відповідає протоколам безпеки та допомагає зробити ваш магазин безпечнішим місцем.
Як налаштувати 2FA в Magento 2?
У Mageto 2.4.x двофакторна автентифікація ввімкнена за замовчуванням. Тож вам потрібно лише виконати загальні налаштування та налаштувати вибрані програми автентифікації.
Magento інтегрує Google Authenticator, Duo Security, Authy та U2F. Інструменти відрізняються ціною, реалізацією та методами автентифікації, які вони пропонують. Просто виберіть найзручніший варіант для вашого магазину.
| Додаток | Ціна | Метод автентифікації |
|---|---|---|
| Генератор кодів Google | Безкоштовно | Одноразові коди доступу |
| Безпека Duo | Рівні для кожного користувача від 3 доларів США на місяць | Push-сповіщення, SMS, одноразові коди доступу тощо. |
| Авторизація | Безкоштовно | Одноразові коди доступу, голосовий дзвінок, SMS тощо. |
| U2F | Платно, залежить від пристрою та провайдера | Апаратні пристрої, наприклад, YubiKey |
Давайте тепер розглянемо налаштування, які вам потрібно виконати.
Загальні налаштування
Щоб налаштувати двофакторну автентифікацію Magento 2, перейдіть до розділу Магазини > Конфігурація > Додатково > Безпека > 2FA і почніть із загального розділу:
1. Виберіть Постачальники для використання для 2FA. Тут ви можете вибрати кількох постачальників.
2. Встановіть URL-адреса конфігурації електронної пошти для веб-API якщо доречно.
3. Вкажіть кількість Повторні спроби двофакторної автентифікаціїКористувача буде тимчасово заблоковано після визначеної кількості невдалих спроб автентифікації.
4. Введіть Час блокування двофакторної автентифікації щоб визначити, скільки часу користувач повинен чекати, перш ніж повторно спробувати ввійти.
На цьому етапі ви можете зберегти налаштування та перейти до відповідних розділів постачальника автентифікації.
Генератор кодів Google
Google Authenticator – це постачальник автентифікації за замовчуванням у Magento 2. Таким чином, єдине поле, яке потрібно заповнити в його налаштуваннях, – це Вікно одноразового пароля.
Він визначає, як довго дійсний одноразовий код, і за замовчуванням становить 29 секунд. Ви можете змінити значення за потреби, але зверніть увагу, що воно має бути менше 30 секунд.
Безпека Duo
Для Безпека Duo конфігурації, вам спочатку потрібно зареєструвати обліковий запис і отримати доступ до панелі адміністратора. Потім візьміть необхідні дані та вкажіть Ключ інтеграції, секретний ключ, і Ім'я хоста API.
Авторизація
Так само вам спочатку потрібно буде створити обліковий запис у Авторизація щоб налаштувати його для вашого веб-сайту Magento. Потім введіть свій Ключ API і Повідомлення одним дотиком що буде відображатися на сторінці входу адміністратора. Ось, власне, і все.
U2F
Якщо ви хочете інтегрувати ключ U2F як постачальника автентифікації, вам спочатку потрібно отримати сам фізичний ключ. Це може бути ЮбіКей або будь-який інший ключ, який ваші адміністратори використовуватимуть для 2FA.
Потім у налаштуваннях ви можете вказати Домен виклику WebAPI якщо ви хочете використовувати власний домен для автентифікації. За замовчуванням для цієї мети використовується домен вашого магазину.
Робочий процес двофакторної автентифікації Magento
Після завершення налаштувань двофакторної автентифікації Magento, користувачам вашої адміністративної панелі потрібно буде пройти початкову автентифікацію, щоб продовжити.
Під час початкового налаштування кожному користувачеві з правами адміністратора пропонується налаштувати двофакторну аутентифікацію (2FA) для свого облікового запису. Розглянемо робочий процес на прикладі Google Authenticator.
Для початку адміністраторам потрібно встановити Програма Google Authenticator на своїх телефонах. Потім, після входу, їм потрібно...відскануйте QR-код за допомогою програми Authenticator. Це додає новий запис до програми на їхньому мобільному пристрої.
Тепер, коли у них перед очима 6-значний код, залишається лише ввести його в...Код автентифікатора поле та преса Підтвердити.
Для всіх подальших входів адміністраторам потрібно буде лише ввести код, оскільки постачальник автентифікації для них уже налаштований.
Кроки налаштування відрізняються залежно від обраного вами постачальника послуг автентифікації. Докладнішу інформацію можна знайти в документації відповідного постачальника.
Як керувати двофакторною автентифікацією Magento?
Двофакторна автентифікація Magento, безсумнівно, є обов'язковою для забезпечення безпечного середовища. Таким чином, окрім увімкнення 2FA, вам також слід знати, як ефективно нею керувати, використовуючи інструменти, які Magento надає одразу після встановлення.
Саме це ми й дослідимо в наступних розділах.
Скинути постачальників автентифікації
Двофакторна автентифікація (2FA) може працювати не завжди належним чином. Іноді адміністратори не можуть увійти через невідповідності двофакторної автентифікації.
Зазвичай очищення кешу браузера та файлів cookie допомагає вирішити проблему. Однак у деяких випадках може знадобитися скинути налаштування постачальників автентифікації. Для цього:
1. Перейдіть до Система > Дозволи > Усі користувачі та відкрийте користувача, для якого потрібно скинути 2FA.
2. Вкажіть свій пароль у Перевірка особи поточного користувача розділ і перейдіть на вкладку 2FA.
3. Натисніть кнопку Скинути кнопка під Скидання конфігурації розділ і збережіть користувача.
Це скине налаштування постачальника автентифікації Google. Тому адміністратору потрібно буде повторити початкове налаштування.
Якщо ви налаштували різних постачальників, вам потрібно перевірити функцію скидання у відповідній документації.
Вимкнути двофакторну аутентифікацію Magento
У деяких випадках двофакторна автентифікація Magento не є суворо обов'язковою, наприклад, для магазинів розробників. Вони використовуються для впровадження нових функцій перед їх публікацією на веб-сайті та не працюють з "живими" даними.
Таким чином, у цьому випадку ви можете вимкнути Magento 2FA, щоб спростити розробку та тестування. Щоб вимкнути 2FA в Magento 2, виконайте таку команду CLI:
php bin/magento module:disable Magento_TwoFactorAuth
Ви також можете вимкнути двофакторну автентифікацію для певних користувачів , але це вимагатиме складнішого підходу.
Щоб знову ввімкнути Magento 2FA, виконайте:
php bin/magento module:enable Magento_TwoFactorAuth
Важливо! Ми наполегливо рекомендуємо не вимикати двофакторну автентифікацію Magento, окрім випадків крайньої необхідності. Завжди переконайтеся, що ви знову ввімкнули двофакторну автентифікацію у робочому середовищі, якщо ви раніше її вимкнули.
Поради щодо оптимізації 2FA для Magento
Ми вже розглянули, що таке Magento 2FA, як налаштувати різних постачальників автентифікації та як керувати 2FA в Magento 2. Але це ще не все.
Ось кілька порад щодо оптимізації двофакторної автентифікації для досягнення найкращих результатів.
Не нехтуйте надійним паролем
Хоча двофакторна автентифікація Magento створює додатковий рівень безпеки, не нехтуйте паролем. Чим сильніший пароль, тим менша ймовірність того, що хтось його зламає.
Тож не ігноруйте старі добрі поради щодо безпеки паролів і створіть пароль, який важко зламати.
Створіть план відновлення
Як згадувалося раніше, двофакторна автентифікація не завжди дозволяє адміністраторам входити в систему належним чином. Незалежно від того, на якій стороні виникає проблема — Magento чи постачальник автентифікації — вона все одно порушує робочий процес.
У вас має бути готовий план відновлення для таких випадків. Варіанти варіюються від тимчасового вимкнення 2FA до використання резервних облікових записів. Останні можуть мати обмежені дозволи, але все ще дозволяють адміністраторам виконувати завдання, пов’язані з клієнтами та замовленнями.
Остаточний план залежить від специфіки вашого середовища та наявних ресурсів. Важливо, щоб у вас був такий план готовий.
Регулярно проводите перевірки безпеки
Хоча Magento 2FA значно підвищує безпеку вашого магазину, вона не може захистити вас від усіх можливих загроз. Тому наполегливо рекомендується проводити регулярні аудити безпеки та контролювати свій магазин.
може допомогти вам зробити саме це. Він регулярно сканує ваш веб-сайт і надає детальні звіти про підозрілу активність, впровадження шкідливого програмного забезпечення, шкідливі файли тощо.
Він також виявляє, чи вимкнено 2FA, тож ви завжди пам’ятатимете, що його потрібно тримати.
Приклад звітів про безпеку
Увімкнувши двофакторну автентифікацію Magento, ви підвищуєте рівень безпеки та створюєте бар'єр проти силових атак на вашого адміністратора.
Але Найкращі практики безпеки Magento – це не те, що ви робите один раз і забуваєте. Це безперервний процес забезпечення безпеки та захисту вашого середовища, клієнтів і даних.
Щоб вимкнути двофакторну автентифікацію в Magento 2, виконайте таку команду CLI:
Модуль php bin/magento: вимкнути Magento_TwoFactorAuth
Будьте обережні, вимикаючи 2FA, і не робіть цього у робочому середовищі або якщо в цьому немає необхідності.
