Platvormi sisuhaldus on kindlasti üks tähtsamaid kohti, mis peab olema turvaline.
Sisuhaldusesse logimine
Meie soovitus on alati hoida sisuhalduse viide unikaalne, sest pahatahtlikud robotid teavad juba ette ära valikuid nagu näiteks admin, backend, back, backendadmin jmt. Sinna võid kirjutada kasvõi /roosamanna – peaasi, et see ei oleks kergesti äraarvatav. Samuti on lihtne ühendust seostada domeeni nime või mõne muu nimetusega, mis veebilehel kordub (võiks välistada ka ettevõtte tegelikku nime).
Näiteks: www.lumav.ee sisuhaldus paneel ei tohi olla /wp-admin (mis muidu oleks vaikimisi) /admin /aedes /lumav jmt.
Kõige parem oleks kogu paneel piirata ka IP aadressidega – nii on välistatud ka brute-force häkkimised. Lisaks saaks lisada ka VPN toe ehk et dünaamilise IP pealt tulevad kasutajad saaksid samuti sisuhaldusele ligi (või siis teha nii, et ainult VPNi kaudu saabki sisuhaldusele ligi, kui tahta eriti kõrget turvalisust ka ettevõtte siseselt).
Juhul, kui see variant kõne alla ei tule, oleks variandiks ka turvakast, mis tekitab ühe ebameeldiva lisasammu roboti jaoks juurde. Näiteks sobib selleks hästi Google Captcha.
Kõige parem kombinatsioon oleks muidugi IP piirang + turvakast.
Tegevused sisuhalduses
Täiesti tavaline on ka see, et kui eelmisi samme on ignoreeritud, saab robot kellegi kasutajaga sisuhaldusesse ja võib hakata seal omakorda pahandust tegema. Samuti ei saa kunagi välistada, et selleks pahatahtlikuks on ka (endine) töötaja ise.
Selleks soovitame paigaldada sisuhalduse tegevuste logimise mooduli, mis paneb täpselt kirja, mis tegevusi millal tehti ja mida täpselt tehti.
Lisaks võiks jälgida ka mida admin (kõige suuremate õigustega kasutaja) kasutajad täpselt teevad. Selle kaitsmiseks oleks vaja logida adminnide tegevus kas kuhugi teise serverisse või teha pidev backup admin audit tabelist ja see ära kopeerida.
Samuti saab piirata näiteks Magentos kasutajate rolle, et kasutajad näeks vaid neid elemente, millega nad töötavad.
Näiteks:
Ettevõttes on töötaja, kes tegeleb toodete rikastamisega ning tema peab nägema vaid tooteid – tellimused ja süsteemi sätted on tema jaoks ebavajalikud.
Lisaks kõigele eelnevale, on soovituslik tööd teha mitte ühe kasutaja alt, vaid igal töötajal peaks olema oma isiklik kasutaja.
Näiteks:
E-poodi haldab 5 inimest ning seda tehakse alati kontoris. Kasutusel on sisuhalduste tegevuste logimiste moodul, aga töötajad kasutavad kõik ühte ja sama kasutajat.
Tulemus: toode rikastatakse/tellimus aetakse sassi/säte salvestatakse valesti jne, aga kes seda tegi, ei ole teada, kuna logi näitab ühte ja sama kasutajat sama IP ja veebilehitseja alt.
