Tag: PrestaShop sicheres Backend

Der PrestaShop Security Manager ist ein umfassendes Sicherheitsmodul für PrestaShop, das die Arbeit einzelner Plugins ersetzt, die Händler üblicherweise nacheinander installieren: ein Plugin für die Zwei-Faktor-Authentifizierung, ein CAPTCHA-Plugin und eine separate Firewall-Erweiterung. Dieses Modul vereint Schutz auf Administratorseite, Frontend-Sicherheit und Dateiintegritätsprüfung in einer einzigen Konfigurationsoberfläche in Ihrem PrestaShop-Backend.

Wenn Sie nach einem Komplettpaket suchen PrestaShop 2FA-Modulherunter, eine PrestaShop Firewall-Modulherunter, eine PrestaShop-Brute-Force-Schutzmoduloder einfach eine Möglichkeit, Ihre Daten zu sichern Backend sichern ohne diese fünf verschiedenen Erweiterungen jonglieren zu müssen, Prestashop Advanced Security Manager Umfasst alles.

Dieses Modul ist in drei Funktionsbereiche unterteilt, von denen jeder über eigene Registerkarten verfügt:

• Administratorsicherheit: Die Sicherheit des Administrators umfasst die Zwei-Faktor-Authentifizierung (2FA), den Schutz vor Brute-Force-Angriffen, den Schutz der Administrator-IP-Adresse, die Umbenennung von Ordnern (versteckte Administrator-URL), die HTTP-Authentifizierung und die Überwachung der Anmeldeaktivitäten.
• Frontend-Sicherheit: Dies umfasst Web Application Firewall, HTTP-Sicherheitsheader, Spamschutz (CAPTCHA), Schutz vor gefälschten Warenkörben, Inhaltsschutz und HTTP-Authentifizierung für den Shop.
• Anti-Malware: Geplante Scans, Bedrohungserkennung und Berichtserstellung zu Scanverläufen.

Jeder dieser Bereiche wird später in diesem Handbuch ausführlich dokumentiert, wobei jedes Feld in einfacher Sprache erklärt wird, damit Sie immer genau wissen, was Sie einschalten, bevor Sie es einschalten.

Update (8. Juli 2026): Neue Funktionen im PrestaShop-Sicherheitsmodul v1.0.1 hinzugefügt.

Das neueste Update von Knowband PrestaShop-Sicherheitsmodul Es werden ein Dashboard und eine Frontend-Sicherheitsfunktion eingeführt, die als Honeypot-Feld und -Projekt unter Spamschutz fungiert. Diese Erweiterungen bieten Shop-Betreibern einen besseren Überblick über die Sicherheit ihres Shops und einen stärkeren Schutz vor automatisierten Angriffen – ganz ohne technischen Aufwand.

1. Neues Sicherheits-Dashboard

Es wurde ein zentrales Sicherheits-Dashboard hinzugefügt, damit Shop-Administratoren den kompletten Sicherheitsstatus ihres Shops auf einem einzigen Bildschirm einsehen können.

Das Dashboard zeigt wichtige Details wie:

• Sicherheitsbewertung
• Aktive Sicherheitsvorkehrungen
• Fehlgeschlagene und erfolgreiche Anmeldeversuche
• Anmeldeerfolgsrate
• Abdeckung der Zwei-Faktor-Authentifizierung
• Aktive IP-Sperren
• Spamschutzstatistik
• Markierte IP-Adressen
• Bot-Fangaktivität
• Aktuelle Honeypot-Klassifizierungen
• Die häufigsten Angriffs-IP-Adressen
• Top-Ziel-Administratorkonten

Diese neue Funktion erleichtert es Händlern, Sicherheitsereignisse in Echtzeit im Auge zu behalten und Probleme zu erkennen, bevor sie sich ausweiten.

2. Schutz vor Honeypots

Eine neue Honeypot-Funktion bietet eine unsichtbare erste Verteidigungslinie gegen Bots. Sie funktioniert, indem in ausgewählten Formularen des Online-Shops ein verstecktes Feld platziert wird. Echte Besucher bemerken es nicht, aber Bots, die alle Felder ausfüllen, werden sofort erkannt.

• Schützt Registrierungs-, Anmelde-, Kontakt-, Newsletter- und Produktkommentarformulare
• Funktioniert, ohne das Design Ihres Shops zu ändern.
• Benötigt keinen Drittanbieterdienst
• Bleibt für echte Besucher unsichtbar
• Reduziert Spam-Einträge und gefälschte Anmeldungen

Für noch bessere Ergebnisse lässt sich Honeypot optimal mit folgendem kombinieren: PrestaShop Captcha-Modul um fortgeschrittenere Bots zu stoppen.

3. Projekt Honeypot-Integration

Dieses Update verbindet das Modul außerdem mit Project Honeypot, einem vertrauenswürdigen globalen Dienst, der bekannte Spammer und schädliche IP-Adressen erkennt.

Im Gegensatz zum rein formularbasierten Schutz prüft Project Honeypot die Reputation eines Besuchers, bevor dieser überhaupt Ihre Formulare erreicht.

Zu den wichtigsten Highlights gehören:

• Echtzeit-IP-Reputationsprüfungen über den Http-bl-Dienst
• Beobachtermodus zum Beobachten verdächtiger Besucher, ohne sie zu blockieren
• Aktionsmodus zum automatischen Sperren markierter IP-Adressen
• Benutzerdefinierte Einstellungen für die Sperrdauer
• IP-Whitelist-Unterstützung für vertrauenswürdige Benutzer, Büronetzwerke und CDN-Dienste
• Übersichtliche Protokolle, die die Reputation der Besucher und die ergriffenen Maßnahmen aufzeigen.

2. Hauptmerkmale von PrestaShop Advanced Security Manager

Zwei-Faktor-Authentifizierung (2FA)

Administratoren müssen ihre Identität zusätzlich zu ihrem Passwort mit einem zeitlich begrenzten Einmalcode einer Authentifizierungs-App bestätigen. Dadurch wird eine Kontoübernahme verhindert, selbst wenn ein Passwort durchgesickert, erraten oder nach einem anderen Sicherheitsvorfall wiederverwendet wird.

Brute-Force-Schutz

Blockiert vorübergehend eine IP-Adresse, die innerhalb eines definierten Zeitfensters zu viele fehlgeschlagene Anmeldeversuche als Administrator verzeichnet, und neutralisiert so automatisierte Skripte zum Ausnutzen von Anmeldeinformationen und zum Erraten von Passwörtern, ohne dass ein manuelles Eingreifen erforderlich ist.

Wenn ein Angreifer-Skript innerhalb von weniger als einer Minute 50 Passwortkombinationen für den Administrator-Login ausprobiert, wird die IP-Adresse nach Erreichen des konfigurierten Wiederholungslimits automatisch für die konfigurierte Sperrfrist gesperrt.

Administrator-IP-Schutz

Beschränkt den Zugriff auf den Backend-Bereich auf eine definierte Liste von IP-Adressen; alle anderen werden blockiert, bevor sie überhaupt die Anmeldeseite erreichen. Dies ist die stärkste Einzelmaßnahme gegen externe Zugriffsversuche von Administratoren, da die Anfrage blockiert wird, bevor Anmeldeinformationen geprüft werden.

Ordner umbenennen (Versteckte Admin-URL)

Dieses Modul verbirgt den eigentlichen Admin-Ordner hinter einer geheimen virtuellen URL, sodass der tatsächliche Backend-Pfad für alle, die den virtuellen Namen nicht kennen, einen 404-Fehler zurückgibt. Dadurch wird Ihr Shop aus der Liste der Websites entfernt, die Bots durch Scannen nach gängigen Admin-Ordnernamen finden.

HTTP-Authentifizierung (Admin & Frontend)

Mit diesem Modul können Sie eine zusätzliche Benutzername- und Passwortabfrage im Browser einblenden, entweder im Backend, im Shop oder in beiden, noch bevor der PrestaShop-Anmeldebildschirm geladen wird. Dies ist eine zweite Authentifizierungsebene, die vollständig außerhalb der Anwendung arbeitet und sich für Testumgebungen, Pre-Launch-Shops oder als zusätzliche Administrationsebene eignet.

Webanwendungs-Firewall (WAF)

Prüft eingehende GET-, POST- und Cookie-Daten auf bekannte SQL-Injection-, Cross-Site-Scripting- und Path-Traversal-Angriffsmuster und blockiert Treffer mit einer HTTP-403-Antwort. Dadurch wird ein Großteil der automatisierten Angriffsversuche abgefangen, bevor sie den Code von PrestaShop erreichen.

HTTP-Sicherheitsheader

Fügt Antwort-Header (HSTS, Clickjacking-Schutz, Content-Sniffing-Schutz, Referrer-Richtlinie, Berechtigungsrichtlinie) hinzu, die Browser anweisen, zusätzliche Sicherheitsmaßnahmen zu erzwingen. Dies ist eine einfache Möglichkeit, die Browser-Verarbeitung Ihrer Website zu verbessern, und wird häufig für PCI- und Sicherheitsaudit-Checklisten gefordert.

Spamschutz (CAPTCHA)

Fügt dem Kontaktformular und dem Kundenregistrierungsformular eine CAPTCHA-Verifizierung (Cloudflare Turnstile, Google reCAPTCHA oder hCaptcha) hinzu, wodurch Spam-Einsendungen und die Erstellung betrügerischer Konten reduziert werden, ohne dass Änderungen am Design erforderlich sind.

Schutz vor gefälschten Warenkörben

Blockiert GET-basierte Warenkorbmanipulationsanfragen – eine gängige Bot-Technik, bei der Warenkörbe mithilfe von URL-Parametern anstatt tatsächlicher Warenkorb-Aktionen durchsucht und vorgeladen werden. Dadurch bleiben Warenkorb- und Bestandsdaten frei von Bot-verursachten Daten, ohne echte Kunden zu beeinträchtigen.

Inhalt Schutz

Durch die Blockierung von Rechtsklick, Kopieren und Einfügen, Quelltextansicht und Tastenkombinationen in den Entwicklertools wird das beiläufige Kopieren von Inhalten erschwert, wodurch der Aufwand für das zufällige Auslesen von Produktbeschreibungen und Bildern erhöht wird.

Anti-Malware-Scan

Führt regelmäßige Integritätsprüfungen Ihrer PrestaShop-Installation durch, vergleicht die Dateien mit einer bekannten, fehlerfreien Referenzdatei und kennzeichnet neue oder geänderte Dateien als potenzielle Bedrohungen. Dadurch werden Anzeichen einer Kompromittierung, wie z. B. eingeschleuster Code, veränderte Kerndateien oder unerwartete neue Dateien, oft lange bevor diese im Shop sichtbar werden, aufgedeckt.

3. Modulinstallation des PrestaShop Security Managers

Modul hochladen

1. Melden Sie sich mit einem Administratorkonto im PrestaShop-Backend an.
2. Navigieren Module > Modulmanager.
3. Klicken Sie auf Laden Sie ein Modul hoch in der oberen rechten Ecke.
4. Wählen Sie die Modul-ZIP-Datei aus, die Sie nach dem Kauf heruntergeladen haben.
5. Warten Sie, bis der Upload-Fortschritt vollständig angezeigt wird. Verlassen Sie die Seite währenddessen nicht, da dies bei langsameren Verbindungen die Dateiübertragung unterbrechen kann.

4. Übersicht des Admin-Panels PrestaShop Advanced Security Manager

Das Modul fügt Ihrem Backend-Menü einen neuen Eintrag hinzu, üblicherweise unter Ihren installierten Modulen oder einem separaten Menüpunkt für Sicherheit, abhängig von Ihrem PrestaShop-Theme. Nach dem Öffnen gelangen Sie zu einem Konfigurationsbildschirm, der in drei Hauptbereiche unterteilt ist, die jeweils eigene Registerkarten enthalten:

• Administratorsicherheit: Die Steuerungselemente beziehen sich auf Ihre Backoffice-Anmeldung und Administratorsitzungen, einschließlich 2FA, Brute-Force-Schutz, Schutz der Administrator-IP, Umbenennung von Ordnern, HTTP-Authentifizierung und Anmeldeüberwachung, einschließlich der Unteransicht „Mitarbeiter“ zur Verwaltung einzelner 2FA-Registrierungen.
• Frontend-Sicherheit: Kontrollen, die für den kundenorientierten Datenverkehr gelten, einschließlich der Web Application Firewall, HTTP-Sicherheitsheader, Spamschutz, Schutz vor gefälschten Warenkörben, Inhaltsschutz und HTTP-Authentifizierung des Shops.
• Anti-Malware: Scankonfiguration und historische Scanberichte, einschließlich der CRON-URL für geplante Scans und eines durchsuchbaren, filterbaren Protokolls vergangener Scans.

Ganz oben auf der Konfigurationsseite, unabhängig davon, welchen Tab Sie gerade auswählen, finden Sie die Notfallwiederherstellungs-URL, ein permanenter Link, der die einschränkenden Funktionen des Moduls mit einem Klick deaktiviert, falls Sie sich jemals aussperren sollten.

Wichtig: Dies ist die wichtigste Information zu diesem Modul in diesem Benutzerhandbuch. Sie können sie jetzt kopieren, bevor Sie weitere Einstellungen vornehmen, und außerhalb des Administrationsbereichs speichern, damit Sie jederzeit darauf zugreifen können.

5. Administratorsicherheit

Die Administrator-Sicherheit ist der Kern davon. PrestaShop-Admin-SicherheitsmodulDie Kontrollmechanismen schützen den Backend-Login selbst, der das wertvollste Angriffsziel in jedem Onlineshop darstellt. Ein kompromittiertes Administratorkonto bietet Angreifern deutlich mehr Möglichkeiten als jede Frontend-Schwachstelle. Daher verdient dieser Abschnitt bei der Ersteinrichtung höchste Aufmerksamkeit.

Zwei-Faktor-Authentifizierung (2FA)

Shop-Administratoren können dies nutzen. PrestaShop Zwei-Faktor-Authentifizierungsmodul um zusätzlich zum normalen Passwort einen zeitbasierten Einmalcode von einer Authentifizierungs-App zu verlangen und so die Verbindung zu schließen 

Aktivieren Sie 2FA: Aktiviert die 2FA-Unterstützung über den Schalter; Administratoren werden beim nächsten Login aufgefordert, eine Authentifizierungs-App einzurichten.

Für alle Shops aktivieren, auch wenn dies noch nicht erzwungen wurde.

IPs auf die Whitelist setzen: Shop-Administratoren mit zusätzlichen IPs, die die Zwei-Faktor-Authentifizierung vollständig umgehen, eine pro Zeile oder durch Komma getrennt; auch dann ausgenommen, wenn Force aktiviert ist.

Es wird empfohlen, vor der Erzwingung der Zwei-Faktor-Authentifizierung (2FA) zunächst das Büro oder das Zuhause als Sicherheitsnetz hinzuzufügen.

Zwei-Faktor-Authentifizierung erzwingen: Sie können alle nicht auf der Whitelist stehenden Administratoren dazu auffordern, die Zwei-Faktor-Authentifizierung (2FA) einzurichten, bevor sie fortfahren können.

Aktivieren Sie diese Option außerdem erst, nachdem Sie eine vertrauenswürdige IP-Adresse auf die Whitelist gesetzt oder Ihre Wiederherstellungs-URL bestätigt haben.

b) Mitarbeiter

ID: Identifiziert das Mitarbeiterkonto.

2FA-Status: Zeigt anhand der Registerkarte „2FA-Status“ an, ob die Zwei-Faktor-Authentifizierung (2FA) für den jeweiligen Mitarbeiter aktuell eingerichtet ist oder nicht.

Es wird empfohlen, regelmäßig nachzusehen, insbesondere nach Personalwechseln.

Aktionen: Setzt eine verloren gegangene 2FA-Registrierung zurück (deaktiviert sie), damit der Mitarbeiter sie erneut einrichten kann.

Sofort anwenden, wenn ein Mitarbeiter sein Authentifizierungsgerät verliert.

Die empfohlene Vorgehensweise für die Einführung von 2FA ist, zunächst die optionale Aktivierung durchzuführen und anschließend die erzwungene 2FA einzuschalten, sobald alle Nutzer Zeit zur Anmeldung hatten. Dadurch wird die Übernahme von Konten durch durchgesickerte, erratene oder wiederverwendete Passwörter verhindert, da ein gestohlenes Passwort allein nicht mehr zum Anmelden ausreicht. Dies ist besonders wichtig für Geschäfte mit Fernzugriff oder Zugriff durch externe Dienstleister, für Backoffices mit mehreren Mitarbeitern oder für alle Geschäfte, die bereits Opfer eines Login-Sicherheitsvorfalls geworden sind.

Wichtig: Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) niemals für die gesamte Website, ohne zuvor mindestens eine vertrauenswürdige IP-Adresse auf die Whitelist gesetzt oder die Funktion der Notfallwiederherstellungs-URL überprüft zu haben. Halten Sie die Liste der Whitelist-IP-Adressen kurz und überprüfen Sie sie regelmäßig, da diese Adressen die 2FA vollständig umgehen. Über den Tab „Mitarbeiter“ können Sie den Kontozugriff eines Teammitglieds wiederherstellen, ohne den 2FA-Schutz für den gesamten Shop zu deaktivieren. Dies ist hilfreich bei verlorenen oder ersetzten Smartphones, Neuinstallationen von Apps und dem Ausscheiden von Mitarbeitern. Es empfiehlt sich, das Zurücksetzen des 2FA-Status in Ihre Standard-Checkliste für das Ausscheiden eines Mitarbeiters aufzunehmen.

2. Schutz vor roher Gewalt

Shop-Administratoren können dies nutzen. PrestaShop-Brute-Force-Schutzmodul Automatische Sperrung von IP-Adressen, die eine definierte Anzahl fehlgeschlagener Anmeldeversuche überschreiten, wodurch Credential-Stuffing-Skripte ohne manuelle Überwachung gestoppt werden.

Brute-Force-Schutz aktivierenDiese Funktion blockiert vorübergehend eine IP-Adresse nach zu vielen fehlgeschlagenen Administrator-Anmeldeversuchen. Es wird empfohlen, den Brute-Force-Schutz in Ihrem Produktivsystem zu aktivieren.

Maximale Wiederholungsversuche: Die maximale Anzahl an Wiederholungsversuchen ist die Anzahl der zulässigen Fehlversuche, bevor beim nächsten Versuch nach Überschreiten des Limits eine Sperre ausgelöst wird.

Sie können den Wert auf 5 Versuche setzen, da dies ein sinnvoller Standardwert ist.

Zeitfenster (Sekunden): Dieses gleitende Fenster ist ein Zeitfenster, in dem Fehlversuche gezählt werden.

Sperrzeit (Sekunden): Diese Sperrzeit gibt an, wie lange eine gesperrte IP-Adresse im System gesperrt bleibt; sie läuft auch automatisch ab.

IPs auf die Whitelist setzen: Fügen Sie die IPs hinzu, die nie gezählt oder gesperrt wurden, und fügen Sie vertrauenswürdige Büro-/VPN-IPs hinzu.

Beginnen Sie mit moderaten Werten, überprüfen Sie Ihr Anmeldeversuchsprotokoll nach einer Woche und verschärfen Sie die Einstellungen, falls weiterhin wiederholte Angriffe von verschiedenen IP-Adressen erfolgen. Dies ist der Kern des Ganzen. PrestaShop Brute-Force-Modul Funktionalität: Es neutralisiert automatisierte Passwortversuche direkt, ohne dass Sie Protokolle in Echtzeit überwachen müssen. Es empfiehlt sich, es mit 2FA zu kombinieren, anstatt sich allein auf den Schutz vor Brute-Force-Angriffen zu verlassen. Der Schutz vor Brute-Force-Angriffen verlangsamt Angreifer lediglich, während 2FA sie sofort stoppt, selbst wenn ein Passwort letztendlich erraten wird. Sperren erfolgen automatisch und sind zeitlich begrenzt, sodass eine manuelle Entsperrung einer IP-Adresse nicht erforderlich ist; die Sperre wird nach Ablauf der Sperrfrist automatisch aufgehoben.

3. Schutz der Administrator-IP

Shop-Administratoren können dies nutzen. PrestaShop IP-Beschränkungsmodulhttps://www.knowband.com/prestashop-security-manager um den Backoffice-Zugriff auf eine feste Liste vertrauenswürdiger IP-Adressen zu beschränken und alle anderen Besucher, einschließlich Bots, die die Anmeldeseite gar nicht erst zu Gesicht bekommen, zu blockieren.

Administratorzugriff nach IP-Adresse beschränken: Mit dieser Funktion können Sie den Zugriff auf das Backoffice auf eine bestimmte Liste vertrauenswürdiger IP-Adressen beschränken.

Wie es funktioniert:

Wenn diese Option aktiviert ist, können nur die unten aufgeführten IP-Adressen Ihr Backoffice erreichen. Alle anderen Besucher, einschließlich aller, die versuchen, die Anmeldeseite aufzurufen, werden blockiert.

Zu Ihrer Sicherheit wird Ihre aktuelle IP-Adresse automatisch zur Liste der zulässigen Adressen hinzugefügt, sobald Sie diese Option aktivieren, damit Sie sich nicht versehentlich aussperren.

Zulässige IPs (erforderlich): Nur die hier eingegebenen IP-Adressen erhalten Zugriff auf das Backoffice.

4. Admin-Ordner umbenennen

Name des Admin-Ordners ausblenden: Shop-Administratoren können diese Funktion des PrestaShop-Sicherheitsmoduls nutzen, um die echte Backend-URL hinter einer geheimen virtuellen Adresse zu verbergen. Dadurch wird Ihr Shop nicht mehr von automatisierten Scannern gefunden, die gängige Admin-Ordnernamen erraten.

Verbergen Sie den Administrator hinter einem virtuellen Namen:  Wenn diese Option aktiviert ist, gibt die direkte Admin-URL einen 404-Fehler zurück, und das Backoffice ist nur über die unten festgelegte virtuelle URL erreichbar. Virtueller Administratorname: Geben Sie einen Namen mit 3 bis 32 Buchstaben, Ziffern, Bindestrichen oder Unterstrichen ein. Verwenden Sie diesen Namen geheim, genau wie ein Passwort.

5. HTTP-Authentifizierung (Admin)

Shop-Administratoren können diese Funktion nutzen, um eine Benutzername- und Passwortabfrage auf Browserebene vor dem gesamten Backend einzufügen, die zusätzlich zur normalen PrestaShop-Admin-Anmeldung als zusätzliche Sicherheitsmaßnahme dient.

HTTP-Authentifizierung für den Administrator aktivieren

Diese Funktion ist Teil des PrestaShop-Sicherheitsmoduls. Diese Option fügt eine Benutzername-/Passwortabfrage hinzu, bevor die Administrator-Anmeldeseite überhaupt geladen wird, und bietet Ihnen somit eine zusätzliche Sicherheitsebene neben Ihren regulären Administrator-Zugangsdaten.

HTTP-Authentifizierung für den Administrator aktivierenWenn diese Option aktiviert ist, müssen Besucher einen Benutzernamen und ein Passwort in einer Browserabfrage eingeben, bevor sie überhaupt den Administrator-Anmeldebildschirm sehen können.

Benutzername / Passwort: Dies sind die Anmeldeinformationen, die für die HTTP-Authentifizierung benötigt werden. Das Passwort wird verschlüsselt gespeichert und niemals im Klartext abgelegt.

IPs auf die Whitelist setzen: Die hier aufgeführten IP-Adressen umgehen die Passwortabfrage vollständig.

Serverkompatibilität (CGIPassAuth): Dies fügt eine Direktive hinzu, die auf Servern benötigt wird, auf denen PHP als FastCGI/PHP-FPM ausgeführt wird, da der Authentifizierungsheader sonst nicht korrekt weitergeleitet wird.

6. Überwachung der Anmeldungen

Shop-Administratoren können dies nutzen. PrestaShop-Anmeldesicherheitsmodul Funktion zum Empfangen von Benachrichtigungen bei erfolgreichen Anmeldungen und zum Führen eines herunterladbaren Protokolls aller Anmeldeversuche von Administratoren.

Anmeldebenachrichtigungen und Prüfprotokoll

E-Mail nach erfolgreicher Anmeldung: Diese Option versendet eine Benachrichtigungs-E-Mail, sobald sich ein Administrator erfolgreich im Backend anmeldet.

Benachrichtigungs-E-Mail: Dies ist die Adresse, an die Anmeldebenachrichtigungen gesendet werden. Wenn Sie dieses Feld leer lassen, wird standardmäßig die E-Mail-Adresse Ihres Shops verwendet.

Protokoll der Administrator-Anmeldeversuche:  Diese Option speichert pro Anmeldeversuch eine Zeile mit IP-Adresse, Uhrzeit, E-Mail-Adresse und Ergebnis in einer herunterladbaren Protokolldatei.

Anmeldeversuchsprotokoll: Dies ist das Protokoll selbst. Die Download-Schaltflächen werden aktiv, sobald Einträge vorhanden sind.

6. Frontend-Schutz

Frontend-Sicherheit schützt Ihren Shop, also den Teil Ihrer Website, mit dem jeder Kunde und jeder Bot direkt interagiert. Hier kommt die Frontend-Sicherheit ins Spiel. PrestaShop Firewall-Modulherunter, eine PrestaShop Captcha-ModulUnd eine PrestaShop-Sicherheitsheader-Modul Alle Funktionen sind parallel verfügbar und decken jeweils eine andere Kategorie von Bedrohungen für den Kunden ab.

Firewall für Webanwendungen

Shop-Administratoren können dies nutzen. PrestaShop WAF-Modul Anfragen, die bekannte SQL-Injection-, Cross-Site-Scripting- und Path-Traversal-Muster enthalten, werden automatisch blockiert, bevor sie den Code des Online-Shops erreichen.

HTTP-Sicherheitsheader

Shop-Administratoren können dies nutzen. PrestaShop-Sicherheitsheader-Modul Die Browser der Besucher werden angewiesen, zusätzliche Schutzmaßnahmen automatisch durchzusetzen, ohne dass sich dies sichtbar am Shop selbst ändert.

Sicherheits-Header

Diese Einstellungen fügen kleine, unsichtbare Anweisungen hinzu, die Webbrowsern mitteilen, wie sie Ihren Shop sicher handhaben sollen. Sie benötigen keine technischen Vorkenntnisse, um sie zu verwenden; die meisten können bedenkenlos aktiviert werden und müssen sich dann nicht mehr darum kümmern.

XSS-Schutz
Dies ist eine ältere Sicherheitsfunktion, die bestimmte Angriffsarten abwehrt. Die meisten modernen Browser bieten mittlerweile einen besseren integrierten Schutz, aber die Aktivierung dieser Funktion schadet nicht; sie dient als zusätzliche Sicherheitsmaßnahme für ältere Browser.

Clickjack-Schutz
Dadurch wird verhindert, dass andere Webseiten Ihren Shop heimlich in einem versteckten Frame auf ihrer eigenen Seite anzeigen – ein Trick, der manchmal verwendet wird, um Besucher dazu zu verleiten, auf Dinge zu klicken, die sie nicht anklicken wollten.

Schutz vor Inhaltsüberwachung
Browser versuchen manchmal, den Dateityp zu „erraten“, was von Angreifern ausgenutzt werden kann. Diese Einstellung weist Browser an, dem vom Shop angegebenen Dateityp zu vertrauen, anstatt ihn zu erraten.

HTTPS-Only Browsing (HSTS)
Dies weist Browser an, sich immer über die sichere, verschlüsselte Version Ihrer Website (HTTPS) mit Ihrem Shop zu verbinden, niemals über die ungesicherte Version.

Subdomains einbeziehen / Vorladen
Dadurch wird die gleiche Regel für sichere Verbindungen auf alle von Ihnen verwendeten Subdomains (wie blog.yourstore.com) ausgedehnt und Ihr Shop kann optional in eine globale Liste eingetragen werden, die Browser automatisch überprüfen.

Empfehlungsrichtlinie
Wenn jemand über einen Link in Ihrem Shop auf eine andere Website gelangt, übermitteln Browser normalerweise einige Informationen darüber, woher der Besucher kam. Diese Einstellung begrenzt, wie viele dieser Informationen weitergegeben werden.

Berechtigungsrichtlinie
Mit dieser Einstellung können Sie steuern, welche Gerätefunktionen, wie z. B. Kamera oder Mikrofon, die Seiten Ihres Shops im Browser eines Besuchers verwenden dürfen.

SPAM-Schutz

Shop-Administratoren können dies nutzen. PrestaShop Spamschutzmodul und PrestaShop Captcha-Modul Funktionalität zum automatischen Hinzufügen einer CAPTCHA-Verifizierung zu den Kontakt- und Kundenregistrierungsformularen.

1. Spamschutz (CAPTCHA)

Diese Funktion ist Teil der PrestaShop-Sicherheitsmodulund hilft dabei, Bots und Spammer daran zu hindern, Ihre Kontakt- und Registrierungsformulare mit unerwünschten Eingaben zu überfluten. Als integrierte Funktion PrestaShop Anti-Spam-Modul und PrestaShop Captcha-ModulEs funktioniert zusammen mit anderen Werkzeugen wie z. B. PrestaShop reCAPTCHA-Modul, PrestaShop Cloudflare Turnstile-Modul und PrestaShop hCaptcha-ModulAlle diese Maßnahmen dienen dazu, zu überprüfen, ob ein echter Besucher und kein Bot Ihre Formulare absendet.

Spamschutz aktivieren
Wenn diese Funktion aktiviert ist, wird Ihren Kontakt- und Registrierungsformularen eine CAPTCHA-Prüfung hinzugefügt. Die Prüfung erfolgt serverseitig, bevor das Formular akzeptiert wird, sodass sie nicht umgangen werden kann.

Provider
Hier wählen Sie den gewünschten CAPTCHA-Dienst aus: Cloudflare Turnstile, Google reCAPTCHA oder hCaptcha. Jeder Dienst funktioniert etwas anders, dient aber demselben Zweck: automatisierten Spam zu blockieren.

Standortschlüssel / Geheimschlüssel
Hierbei handelt es sich um spezielle Codes, die von Ihrem gewählten CAPTCHA-Dienst bereitgestellt werden und Ihren Shop sicher mit diesem Dienst verbinden.

Widget-Thema
Hiermit wird gesteuert, wie das CAPTCHA-Fenster aussieht, zum Beispiel Auto, Hell oder Dunkel.

2. [Neu] Honeypot-Feld

Honeypot bietet zusätzlichen Spamschutz für Ihr Frontend, indem unsichtbare Felder in ausgewählte Formulare eingefügt werden. Echte Besucher und Kunden sehen diese Felder nicht, aber automatisierte Bots, die versuchen, alle Felder auszufüllen, können erkannt und gestoppt werden. Dieser einfache und unkomplizierte Schutz reduziert Spam, Fake-Accounts und Bot-basierte Logins und sorgt gleichzeitig für ein reibungsloses Einkaufserlebnis für Ihre Kunden.

Honeypot aktivierenAktivieren Sie diese Einstellung, um den Honeypot-Schutz für Ihren Shop zu aktivieren. Nach der Aktivierung fügt das Modul den ausgewählten Formularen im Hintergrund ein verstecktes Feld hinzu. Füllt ein Bot dieses Feld aus, wird seine Eingabe als verdächtig markiert und blockiert, bevor sie verarbeitet wird.

Geschützte FormenWählen Sie aus, welche Formulare durch den Honeypot-Schutz abgedeckt werden sollen. Das Modul unterstützt:

Anmeldung – Verhindert die automatisierte Kontoerstellung und gefälschte Anmeldungen.

Login– Blockiert automatisierte Anmeldeversuche und botbasierte Angriffe.

Kontakt Hält Spam-Nachrichten und automatisierte Anfragen von Ihrem Posteingang fern.

NewsletterVerhindert gefälschte oder automatisierte Newsletter-Anmeldungen. Hinweis: Dies hängt von Ihrem Newsletter-Modul und den Einstellungen Ihres Themes ab. Wird das Formular auf einer Seite nicht gefunden, wird der Schutz automatisch übersprungen.

ProduktkommentareSchützt Bewertungs- und Kommentarformulare vor Spam und automatisierten Einträgen. Hinweis: Dies hängt vom Modul „Produktkommentare“ und den Theme-Einstellungen ab. Ist das Formular nicht verfügbar, wird der Schutz automatisch deaktiviert.

3.0 HoneyPot-Projekte

Projekt Honeypot aktivierenDie Registerkarte „Hauptmenü“ kann für die gesamte Funktion aktiviert/deaktiviert werden. Ist die Funktion aktiviert, wird die IP-Adresse jedes Besuchers beim Laden einer Seite anhand der HTTP-BL-Liste (der DNS-basierten Blacklist von Project Honeypot) überprüft. Dadurch ist die Funktion „proaktiv“ im Vergleich zu einem Honeypot-Formularfeld, das erst reagiert, wenn ein Formular tatsächlich abgeschickt wird.
ZugangsschlüsselDer Zugriffsschlüssel ist eine 12-stellige, in Kleinbuchstaben geschriebene Kennung, die von Project Honeypot ausgestellt wird und Ihre HTTP:BL-Abfragen mit Ihrem Konto verknüpft. Es handelt sich nicht um geheime Anmeldeinformationen (er gewährt keinen Zugriff), sondern er teilt dem DNS-Dienst lediglich mit, welche Website die Anfrage stellt – ähnlich einem API-Schlüssel, der eher zur Zuordnung/Ratenbegrenzung als zur Authentifizierung verwendet wird.
Nur-Beobachter-ModusDie IP-Adressen werden nachgeschlagen und klassifiziert, und alles wird protokolliert, aber niemand wird jemals gesperrt. Dies ist eine Datenerfassungsphase.
ProtokollierungsbereichDer Protokollierungsbereich im PrestaShop-Sicherheitsmodul steuert, wie viel in das Klassifizierungsprotokoll geschrieben wird.
Nur markierte IPs: leichtergewichtig, protokolliert nur Besucher, die Http:BL als riskant einstuft.
Alle BesucherEs werden die Besucherklassifizierungen, einschließlich der „sicheren“, protokolliert. Dies ist hilfreich, um ein grundlegendes Bild der Reputation Ihres Traffics zu erstellen. Da die Daten schnell wachsen, werden die Einträge nach 7 Tagen automatisch gelöscht.

Dauer der Sperre (Sekunden): Diese Einstellung ist nur relevant, wenn Sie sich im Aktionsmodus befinden (gekennzeichnete IP-Adresse). Sie legt fest, wie lange eine blockierte IP-Adresse gesperrt bleibt, bevor sie einen erneuten Zugriff erhält.

IPs auf die Whitelist setzen Sie können IPs auf die Whitelist setzen, sodass diese IPs niemals blockiert werden. Klassifizierungsprotokoll: Hier werden die IP-Adresse jedes Besuchers, ihre Klassifizierung (Sicher, Verdächtig, Datensammler oder Kommentar-Spammer) und ob das System sie lediglich beobachtet oder tatsächlich blockiert hat, angezeigt. Dieses Protokoll überprüfen Sie während der Beobachtungsphase, um Fehlalarme auszuschließen, bevor Sie in den Aktionsmodus wechseln.

Schutz vor gefälschten Warenkörben

Schutz vor Wagenmanipulation

Diese Funktion dient dazu, automatisierte, GET-basierte Warenkorbmanipulationen zu blockieren – eine gängige, skriptbasierte Technik, die sich von echten Warenkorb-Aktionen realer Kunden unterscheidet. Shop-Administratoren können sich darauf verlassen. Wissensband Eine Funktion, die den Shop vor Bots oder Skripten schützt, die versuchen, Artikel in den Warenkorb zu legen, indem sie direkt eine URL manipulieren, anstatt sich normal durch die Shopseite zu klicken.

Inhalt Schutz

 

Shop-Administratoren können dieses PrestaShop-Inhaltsschutzmodul verwenden, um das unbedachte Kopieren von Shoptexten und Bildern zu verhindern.

Inhaltsschutz aktivieren
Diese Funktion dient als Hauptschalter für den Inhaltsschutz. Beachten Sie jedoch, dass sie lediglich abschreckend wirkt; ein entschlossener Nutzer kann sie mithilfe der Entwicklertools seines Browsers umgehen.

Kopieren/Ausschneiden/Einfügen deaktivieren
Diese Funktion dient dazu, die Tastenkombinationen zu blockieren, die Besucher normalerweise verwenden würden, um Inhalte von Ihren Seiten zu kopieren, auszuschneiden oder einzufügen.

Quelltextansicht deaktivieren (Strg+U)
Diese Funktion dient dazu, die Browserverknüpfung zu blockieren, mit der Besucher den Quellcode Ihrer Seite einsehen können.

Rechtsklick-Kontextmenü deaktivieren
Diese Funktion dient dazu, das Kontextmenü (Rechtsklickmenü) auszublenden, sodass Besucher es nicht zum Speichern von Bildern oder zum Kopieren von Inhalten verwenden können.

Textauswahl deaktivieren
Diese Funktion dient dazu, zu verhindern, dass Besucher Text auf der Seite markieren oder auswählen.

Entwicklertools deaktivieren / Untersuchen (F12)
Diese Funktion blockiert die Tastenkombinationen F12, Strg+Umschalt+I und Strg+Umschalt+J. Beachten Sie, dass sie nicht verhindert, dass die Entwicklertools über das Browsermenü geöffnet werden.

IPs auf die Whitelist setzen (Mitarbeiter)
Shop-Administratoren können dieses Feld verwenden, um IP-Adressen aufzulisten, die alle Inhaltsschutzbeschränkungen umgehen.

HTTP-Authentifizierung (Frontend)

Shop-Administratoren können dies nutzen. Wissensband Das PrestaShop-Passwortschutzmodul ermöglicht es, den gesamten Shop durch eine Benutzername- und Passwortabfrage im Browser zu schützen. Dies ist unabhängig von der in Abschnitt 7 beschriebenen HTTP-Admin-Authentifizierung.

Aktivieren Sie die HTTP-Authentifizierung für den Storefront.
Diese Funktion dient dazu, eine Passwortabfrage vor dem gesamten Shop-Frontend anzuzeigen, bevor irgendeine Seite aufgerufen werden kann.

Benutzername Passwort
Shop-Administratoren können dieses Feld verwenden, um shopspezifische Anmeldeinformationen festzulegen, die verschlüsselt gespeichert werden.

Whitelist-IPs
Shop-Administratoren können dieses Feld verwenden, um IP-Adressen aufzulisten, die die Passwortabfrage im Shop komplett überspringen.

Diese Funktion dient dazu, einen Test- oder Vorab-Shop vor Suchmaschinen und Gelegenheitsbesuchern zu schützen. Die eingeschränkte Zugänglichkeit ist beabsichtigt; diese Einstellung soll den Zugriff vollständig verhindern und nicht unbemerkt im Hintergrund funktionieren.

Wenn die Passwortabfrage auch nach korrekter Eingabe auf einem Server mit FastCGI/PHP-FPM immer wieder erscheint, können Shop-Administratoren die Einstellung CGIPassAuth unter Admin-HTTP-Authentifizierung in Abschnitt 7, Registerkarte 5 aktivieren. Diese Einstellung gilt sowohl für die Administrator- als auch für die Shop-Abfrage.

7. Schutz vor Schadsoftware

Der Anti-Malware-Schutz rundet das Modul mit einer zeitgesteuerten Dateiintegritätsprüfung ab. Diese Ebene arbeitet unabhängig von der Anmeldesicherheit und dem Shop-Schutz und konzentriert sich ausschließlich auf die Erkennung unautorisierter Änderungen an den Dateien Ihrer Installation.

Einstellungen

Anti-Malware aktivieren
Diese Funktion dient als Hauptschalter für den Anti-Malware-Scanner. Wenn sie deaktiviert ist, kehrt der Scan-Endpunkt sofort zurück, ohne tatsächlich etwas zu scannen.

E-Mail-Benachrichtigung bei neuen Bedrohungen
Diese Funktion sendet eine Benachrichtigung an die E-Mail-Adresse des Shop-Administrators, sobald ein Scan neue oder geänderte Bedrohungen findet. Wiederholte Benachrichtigungen aufgrund bekannter Fehlalarme werden automatisch unterdrückt, sodass Sie nicht zweimal über denselben Eintrag informiert werden.

Pfade ausschließen
Shop-Administratoren können dieses Feld nutzen, um relative Pfade (einen pro Zeile) aufzulisten, die beim Scannen übersprungen werden sollen. Dies ist hilfreich, um bekannte Fehlalarme, wie z. B. auf Händlerverzeichnisse, zu unterdrücken.

CRON-URL
Diese Funktion dient dazu, eine eindeutige, tokengeschützte URL bereitzustellen, die bei jeder Anfrage durch den Scheduler Ihres Servers einen Scan auslöst.

Um alles korrekt einzurichten, aktivieren Sie die Funktion, schalten Sie E-Mail-Benachrichtigungen ein und fügen Sie die CRON-URL zu den geplanten Aufgaben Ihres Hosting-Control-Panels hinzu (oder direkt zur Crontab Ihres Servers, falls Sie diesen selbst verwalten). Die Ausführung sollte typischerweise außerhalb der Spitzenzeiten, z. B. um 2 Uhr nachts, erfolgen. Benachrichtigungen werden nur bei tatsächlich neuen oder geänderten Bedrohungen ausgelöst. Sobald eine Datei erkannt und entweder ausgeschlossen oder bestätigt wurde, werden wiederholte Benachrichtigungen für dasselbe bekannte Element unterdrückt, sodass Ihr Posteingang nicht Nacht für Nacht mit denselben Meldungen überflutet wird.

Berichte scannen

ID
Diese Funktion dient dazu, jedem Scanlauf eine fortlaufende Kennung zuzuweisen, wodurch einzelne Scans leicht wiedergefunden werden können.

Datum
Diese Funktion dient dazu, den Zeitpunkt der einzelnen Scans zu protokollieren.

Ausgelöst durch
Diese Funktion dient dazu, anzuzeigen, ob ein Scan manuell oder durch den geplanten CRON-Job ausgeführt wurde.

Gescannte Dateien
Diese Funktion dient dazu, die Gesamtzahl der während des Scanvorgangs überprüften Dateien anzuzeigen.

Threats

Diese Funktion dient dazu, die Anzahl der während des Scans als neu oder geändert markierten Dateien anzuzeigen.

Dauer
Diese Funktion dient dazu, die Dauer des Scanvorgangs zu erfassen.

Status
Diese Funktion dient dazu, den Abschlussstatus des Scans anzuzeigen.

Bericht anzeigen
Shop-Administratoren können diese Option nutzen, um die detaillierten Ergebnisse des jeweiligen Scans anzuzeigen.

8. Fazit

PrestaShop Security Manager vereint die Schutzmaßnahmen, die die meisten Shops sonst einzeln benötigen, einschließlich eines PrestaShop 2FA-Modulherunter, eine PrestaShop Brute-Force-Modulherunter, eine PrestaShop Firewall-Modulherunter, eine PrestaShop Captcha-Modulund Dateiintegritätsprüfung mit Malware-Schutz in einer einzigen, zentral konfigurierten PrestaShop sicheres BackendDurchdacht konfiguriert, angefangen bei der Überwachung der Anmeldung und der Notfallwiederherstellungs-URL, bevor restriktivere Kontrollmechanismen hinzugefügt werden, reduziert es die häufigsten Angriffswege auf PrestaShop-Shops sinnvoll, ohne dabei den Komfort für echte Kunden oder Ihr eigenes Team zu beeinträchtigen.