Аудит безопасности интернет-магазина на OpenCart

Ядро OpenCart небольшое, а магазин держится на десятках модулей от разных авторов. Слабые места почти всегда в них и в настройках установки.

Рассчитать стоимость

от 29 900 ₽

стоимость пакетов

2 недели

срок типового проекта

отраслевых модуля в калькуляторе

OpenCart и русская сборка ocStore популярны у небольших магазинов: бесплатно, быстро, много готовых модулей. Обратная сторона в том, что за несколько лет магазин обрастает модулями из разных источников. Часть давно не обновляется, а некоторые скачаны с форумов «бесплатно вместо платного» — в таких сборках встречается чужой код, который владелец магазина не заказывал.

Находки в магазинах на OpenCart похожи друг на друга. После установки остался служебный каталог. Каталог storage лежит внутри корня сайта, хотя установщик третьей и четвёртой версии предлагает вынести его выше. Административная часть открыта всем без второго фактора, а менеджеры работают под одной учётной записью. Старая ветка 1.5 или 2.x работает на PHP, который давно не получает исправлений.

Мы проходим магазин целиком: ядро, модули, тему, платёжные и доставочные интеграции, обмен с 1С или МойСклад, сервер и резервные копии. Отдельно смотрим, где хранятся данные покупателей и заказов и кто к ним имеет доступ.

Что находим в магазинах на OpenCart чаще всего

Находка	Почему это плохо	Как исправить
Не удалён служебный каталог установки	Лишняя точка входа	Удалить каталог
Storage в корне сайта	Логи и кеш доступны извне	Перенести выше корня, обновить пути
Модуль из неофициального источника	Посторонний код	Заменить на оригинал или удалить
Одна учётная запись на всех	Нельзя понять, кто что менял	Отдельные пользователи и роли
Старый PHP	Нет исправлений безопасности	План перехода на поддерживаемую версию

Калькулятор

Аудит магазина на OpenCart — расчёт стоимости

Отраслевые модули уже отмечены. Уберите лишнее или добавьте нужное — сумма в счёте будет та же, что в смете.

Выберите пакет

Добавьте нужное

необязательно

+ 19 900 ₽

+ 14 900 ₽

+ 9 900 ₽

от 14 900 ₽ за роль

от 24 900 ₽ за 50 методов

+ 69 900 ₽

+ 79 900 ₽

+ 49 900 ₽

+ 39 900 ₽

от 24 000 ₽ за 10 ч

+ 14 900 ₽

Ваша смета

Пакет «Спутник»29 900 ₽
Разбор модулей19 900 ₽
Проверка платёжных модулей14 900 ₽

Стоимость работ

0 ₽

Срок: 2 недели

Счёт сейчас: 32 400 ₽ — предоплата 50%, остаток после приёмки

Без регистрации. Счёт и анкета придут на почту сразу. Работаем по договору и с разрешения владельца системы.

Возможности

Что входит в проверку

Версия и ветка

Какая ветка OpenCart или ocStore, поддерживается ли PHP, какие исправления не установлены.

Модули

Источник каждого модуля, обновления, признаки постороннего кода.

Установка

Служебные каталоги, storage, config.php, права на файлы.

Административная часть

Ограничения входа, второй фактор, отдельные роли сотрудникам, журнал входов.

Платежи и обмен

Настройки платёжных модулей, проверка уведомлений об оплате, обмен с учётной системой.

Ошибки владельцев магазинов на OpenCart

«Бесплатный» платный модуль

Сборки с форумов бывают изменены, и без чтения кода этого не видно.

Пароль подрядчика навсегда

Разработчик, сделавший магазин три года назад, до сих пор администратор.

Архивы в корне сайта

Резервная копия сайта с базой лежит рядом с index.php и доступна по прямой ссылке.

Как проходит аудит

День 1
Доступы
Админка, доступ к файлам, список модулей, копия базы при необходимости.
Дни 2–4
Проверка
Внешняя проверка, разбор установки, модулей и платёжных настроек.
День 5
Отчёт
Находки с приоритетами и инструкциями для разработчика.

Пример: магазин товаров для дома на ocStore 2.3 с 40 модулями

Пакет «Спутник» (29 900 ₽) + разбор модулей (19 900 ₽) + проверка платёжных модулей (14 900 ₽). Итог — 64 700 ₽ и около двух недель. В отчёте — модуль фильтра из неофициального источника, который нужно заменить на оригинал, и платёжный модуль старой версии без проверки подписи уведомлений. План обновления ветки идёт отдельным документом.

Собрать свой вариант

Вопросы и ответы

Вопросы владельцев магазинов на OpenCart

Модуль куплен у автора. Его тоже проверять?

Да, если он принимает данные от посетителей или работает в админке. Добросовестный автор тоже ошибается, а обновления выходят не всегда.

Ветка 2.x работает. Обязательно обновляться?

Работать будет, но исправлений для неё нет, как и для старого PHP. В отчёте показываем, насколько это срочно в вашем случае.

Достаточно переименовать папку admin?

Это уменьшает шум от ботов, но не защищает. Нужны второй фактор или ограничение по адресам и отдельные учётные записи сотрудникам.

Вы исправите найденное сами?

Можем по опции «Исправление найденного» или передадим отчёт вашему разработчику.

Магазин не упадёт во время проверки?

Нет. Активные проверки согласуем заранее, при необходимости проводим на копии магазина.

Смотрите также

Бесплатные калькуляторы и шаблоны по теме

Все инструменты →