Varnost spletne trgovine

#1Danes sem govoril iz sošolcem in je povedal, da so jim dan pred odprjetm spletne trgovine, vdrli v stran in seveda, otvoritev je splava po vodi.
Zanima me, vsi tisti, ki imate spletne trgovine, katere stvari so pomembne, da se zagotovi čim večja varnost pred vdori, zlorabami, ...? Sam sem trenutno poskrbel za SSL zaščito. kaj še?

#2pravice na datotekah/mapah
up2date shop ter moduli
up2date sam sistem kjer shop tece
...

je kar par faktorjov na kar moras gledati za sam shop.

#3Odvisno od samega sistema spletne trgovine. Če uporabljaš kak open source, potem moraš zadeve redno nadgrajevati in vedno uporabljati zadnje različice. Če nalagaš kakšne dodatke moraš biti pozoren, da nimajo lukenj oziroa da niso že zlonamerno spisane... Na strežniku imej trgovini ločeno in ne na shared hostingu skupaj z drugimi strami, ker potem ti lahko kdo vdre tja in ima dostop tudi do trgovine... Pametno je tudi zaščititi administracijo in uporabljati ne preveč enostavna gesla. Kakorkoli pa že zaščitiš je tukaj druga stran, ki je popolnoma neodvisna od varnosti spletne trgovine - če tebi kdo pošlje npr. trojanca in dobi FTP podatke je zadeva jasna (varnost trgovine je lahko 100% a če pri tebi ni enako ti to nič ne pomaga).

#4Se kdo ukvarja s tem, da bi mi uredil čim boljšo varnost trgovine? Kaj uporabljajo velike trgovine za varovanje? Si res ne želim, da me dan pred otvoritvijo pričaka shekana stran.

#5Varnost je že kar obširna tema:

• SSL (Zaščiti stranko in trgovino pred Man in the Middle napadi - sniffingom))
• SQL Injection filtering zaščiti trgovino pred zlonamernimi SQL stavki
• Cross Scripting filtering zaščiti stranko pred zlonamernim JavaScript izvajanjem
• Pravilna nastavitev pravic na filesystemu
• Pravilna nastavitev pravic na podatkovni bazi - po možnosti več uporabniških profilov, glede na namembnost (branje in pisanje)
• Zaklep aplikativnih skript v direktorij pod dejanskim site public-om omogoča boljšo varnost
• Močna gesla, ki vsebujejo črke, številke in znake
• Po možnosti zaklep administrativnega dostopa samo določenim ip naslovom
• Redno nadgrajevana strežniška programska oprema
• Premišljen požarni zdi
• ...