Manuale utente del modulo PrestaShop Advanced Security Manager

PrestaShop Security Manager è un modulo di sicurezza completo per PrestaShop, sviluppato per sostituire i plugin singoli che la maggior parte dei commercianti finisce per installare uno alla volta: un plugin per l’autenticazione a due fattori, un plugin CAPTCHA, un’estensione firewall separata altrove. Questo modulo, invece, riunisce protezione lato amministratore, difesa lato front-end e scansione dell’integrità dei file in un’unica schermata di configurazione all’interno del back-office di PrestaShop.

Se stai cercando un Completo Modulo di autenticazione a due fattori per PrestaShop Modulo firewall di PrestaShop Modulo di protezione dagli attacchi brute force per PrestaShop, o semplicemente un modo per bloccare il tuo proteggere il backend senza destreggiarsi tra queste cinque diverse estensioni, questo PrestaShop Advanced Security Manager copre tutto.

Questo modulo è organizzato in tre aree funzionali, ognuna con il proprio set di schede:

• Sicurezza amministrativa: Le misure di sicurezza per l’amministratore includono l’autenticazione a due fattori (2FA), la protezione dagli attacchi brute-force, la protezione dell’indirizzo IP dell’amministratore, la ridenominazione delle cartelle (tramite URL di amministrazione nascosto), l’autenticazione HTTP e il monitoraggio delle attività di accesso.
• Sicurezza del frontend: Ciò include firewall per applicazioni web, intestazioni di sicurezza HTTP, protezione antispam (CAPTCHA), protezione dai carrelli falsi, protezione dei contenuti e autenticazione HTTP del negozio online.
• Anti-malware: Scansione programmata, rilevamento delle minacce e reportistica storica delle scansioni.

Ciascuna di queste aree è descritta in dettaglio più avanti in questo manuale, con ogni campo spiegato in un linguaggio semplice, in modo che tu sappia sempre esattamente cosa stai accendendo prima di farlo.

Aggiornamento (8 luglio 2026): Nuove funzionalità aggiunte al modulo di sicurezza PrestaShop v1.0.1

L’ultimo aggiornamento di Knowband Modulo di sicurezza PrestaShop Introduce una dashboard e una funzionalità di sicurezza front-end che include un campo HoneyPot e un progetto sotto la protezione antispam. Queste aggiunte offrono ai proprietari dei negozi una visione più chiara della sicurezza del proprio negozio e una difesa più efficace contro gli attacchi automatizzati, il tutto senza alcuna difficoltà tecnica.

1. Nuova dashboard di sicurezza

È stata aggiunta una dashboard di sicurezza centralizzata che consente agli amministratori del negozio di visualizzare lo stato di sicurezza completo del proprio punto vendita da un’unica schermata.

La dashboard mostra dettagli chiave come:

• Punteggio di sicurezza
• Protezioni di sicurezza attive
• Tentativi di accesso riusciti e non riusciti
• Tasso di successo dell’accesso
• Copertura dell’autenticazione a due fattori
• Blocchi IP attivi
• Statistiche sulla protezione dallo spam
• Indirizzi IP segnalati
• Attività di cattura dei bot
• Recenti classificazioni del progetto Honeypot
• Indirizzi IP più utilizzati negli attacchi
• Principali account amministratori target

Questa nuova funzionalità consente ai commercianti di monitorare facilmente gli eventi di sicurezza in tempo reale e individuare i problemi prima che si aggravino.

2. Protezione Honeypot

Una nuova funzionalità Honeypot aggiunge un primo livello di difesa invisibile contro i bot. Funziona inserendo un campo nascosto all’interno di alcuni moduli del negozio online: i visitatori reali non se ne accorgono, ma i bot che compilano tutti i campi vengono automaticamente individuati all’istante.

• Protegge i moduli di registrazione, accesso, contatto, iscrizione alla newsletter e commenti sui prodotti.
• Funziona senza modificare il tema del tuo negozio.
• Non necessita di servizi di terze parti
• Rimane invisibile ai veri visitatori
• Riduce gli accessi spam e le registrazioni false

Per risultati ancora più efficaci, Honeypot funziona bene insieme a Modulo Captcha di PrestaShop per fermare i bot più avanzati.

3. Integrazione del progetto Honeypot

Questo aggiornamento collega inoltre il modulo a Project Honeypot, un servizio globale affidabile che identifica gli spammer noti e gli indirizzi IP dannosi.

A differenza della protezione basata esclusivamente sui moduli, Project Honeypot verifica la reputazione di un visitatore prima ancora che questi acceda ai vostri moduli.

I punti salienti principali includono:

• Controlli di reputazione IP in tempo reale tramite il servizio Http-bl
• Modalità osservatore per monitorare i visitatori sospetti senza bloccarli
• Modalità azione per bloccare automaticamente gli indirizzi IP segnalati
• Impostazioni personalizzate della durata del ban
• Supporto per whitelist IP per utenti attendibili, reti aziendali e servizi CDN
• Registri chiari che mostrano la reputazione del visitatore e le azioni intraprese.

2. Caratteristiche principali di PrestaShop Advanced Security Manager

Autenticazione a due fattori (2FA)

Richiede agli amministratori di confermare la propria identità con un codice monouso a tempo generato da un’app di autenticazione, oltre alla password. Ciò impedisce l’acquisizione dell’account anche in caso di fuga di dati, tentativi di indovinare la password o riutilizzo da una precedente violazione.

Protezione dalla forza bruta

Blocca temporaneamente un indirizzo IP che accumula troppi tentativi di accesso amministrativo falliti entro un intervallo di tempo definito, neutralizzando gli script automatizzati di credential stuffing e di indovinamento delle password senza richiedere alcun intervento manuale.

Se uno script di un utente malintenzionato tenta 50 combinazioni di password contro l’account amministratore in meno di un minuto, l’indirizzo IP viene bloccato automaticamente dopo il limite di tentativi configurato, per la durata del blocco configurato.

Protezione IP amministrativa

Limita l’accesso al back-office a un elenco definito di indirizzi IP; tutti gli altri vengono bloccati prima ancora di raggiungere la pagina di login. Questo è il sistema di controllo più efficace contro i tentativi di accesso amministrativo esterno, poiché blocca la richiesta prima ancora che vengano verificate le credenziali.

Rinominare la cartella (URL di amministrazione nascosto)

Questo modulo può nascondere la vera cartella di amministrazione dietro un URL virtuale segreto, in modo che il percorso effettivo del back-office restituisca un errore 404 a chiunque non conosca il nome virtuale. In questo modo, il tuo negozio viene escluso dall’elenco dei siti che i bot trovano scansionando i nomi comuni delle cartelle di amministrazione.

Autenticazione HTTP (amministrazione e frontend)

Utilizzando questo modulo, è possibile aggiungere un ulteriore prompt di nome utente e password a livello di browser, prima ancora che venga caricata la schermata di login di PrestaShop, sia per il back office che per il negozio online. Si tratta di un secondo livello di autenticazione che opera completamente al di fuori dell’applicazione, utile per ambienti di staging, negozi di prova o come ulteriore livello di controllo amministrativo.

Firewall per applicazioni Web (WAF)

Analizza i dati in entrata provenienti da richieste GET, POST e cookie alla ricerca di noti schemi di attacco di SQL injection, cross-site scripting e path-traversal, bloccando le corrispondenze con una risposta HTTP 403. In questo modo, si intercetta una grande quantità di tentativi di sfruttamento automatizzati prima ancora che raggiungano il codice di PrestaShop.

Intestazioni di sicurezza HTTP

Aggiunge intestazioni di risposta (HSTS, protezione dal clickjacking, protezione dal content sniffing, policy referrer, policy autorizzazioni) che indicano ai browser di applicare ulteriori comportamenti di sicurezza. Questo è un metodo senza svantaggi per rafforzare la gestione del sito da parte dei browser ed è spesso richiesto per la conformità PCI e per le checklist di audit di sicurezza.

Protezione antispam (CAPTCHA)

Aggiunge la verifica CAPTCHA (Cloudflare Turnstile, Google reCAPTCHA o hCaptcha) al modulo di contatto e al modulo di registrazione clienti, riducendo gli invii di spam e la creazione fraudolenta di account senza richiedere alcuna modifica al tema.

Protezione contro le carte contraffatte

Blocca le richieste di manipolazione del carrello basate su GET, una tecnica comune dei bot che esegue la scansione e il precaricamento dei carrelli utilizzando parametri URL anziché azioni di aggiunta al carrello reali. In questo modo, i dati del carrello e dell’inventario rimangono puliti dal rumore generato dai bot, senza influire sui clienti reali.

Protezione del contenuto

Scoraggia la copia occasionale di contenuti tramite il blocco delle combinazioni di tasti clic destro, copia e incolla, visualizzazione del codice sorgente e Strumenti per sviluppatori, aumentando lo sforzo necessario per l’estrazione occasionale di descrizioni e immagini di prodotti.

Scansione antimalware

Esegue scansioni programmate di integrità dei file della tua installazione di PrestaShop, confrontando i file con una baseline di riferimento nota e segnalando i file nuovi o modificati come potenziali minacce. Questo permette di individuare prove di una compromissione, come codice iniettato, file di sistema modificati o nuovi file inattesi, spesso ben prima che diventino visibili sul sito.

3. Installazione del modulo PrestaShop Security Manager

Caricamento del modulo

1. Accedi al back office di PrestaShop con un account amministratore.
2. Accedere a Moduli > Gestore moduli.
3. Clicchi Carica un modulo nell’angolo in alto a destra.
4. Seleziona il file ZIP del modulo che hai scaricato dopo l’acquisto.
5. Attendi che l’indicatore di avanzamento del caricamento completi. Non abbandonare la pagina durante questa fase, poiché ciò potrebbe interrompere il trasferimento del file in caso di connessioni lente.

4. Panoramica del pannello di amministrazione PrestaShop Advanced Security Manager

Il modulo aggiunge una nuova voce al menu del back-office, in genere sotto i moduli installati o in una sezione dedicata alla sicurezza, a seconda del tema PrestaShop utilizzato. Aprendolo, si accede a una schermata di configurazione organizzata in tre aree principali, ciascuna suddivisa in schede separate:

• Sicurezza amministrativa: Controlli applicabili alle sessioni di back-office e amministrative, tra cui autenticazione a due fattori (2FA), protezione dagli attacchi brute-force, protezione IP amministratore, ridenominazione cartelle, autenticazione HTTP e monitoraggio degli accessi, che comprende la sottosezione Dipendenti per la gestione delle singole iscrizioni all’autenticazione a due fattori.
• Sicurezza del frontend: Controlli che si applicano al traffico rivolto ai clienti, tra cui il firewall per applicazioni web, le intestazioni di sicurezza HTTP, la protezione dallo spam, la protezione dai carrelli falsi, la protezione dei contenuti e l’autenticazione HTTP del negozio online.
• Anti-malware: Configurazione della scansione e report storici delle scansioni, incluso l’URL CRON utilizzato per le scansioni pianificate e un registro ricercabile e filtrabile delle scansioni precedenti.

Nella parte superiore della pagina di configurazione, indipendentemente dalla scheda in cui ti trovi, troverai il URL di ripristino di emergenza, un collegamento permanente che disabilita le funzionalità restrittive del modulo con un solo clic, nel caso in cui dovessi rimanere bloccato fuori.

Importante: Questa è l’informazione più importante del modulo presente in questo manuale utente. Puoi copiarla ora, prima di configurare qualsiasi altra cosa, e salvarla al di fuori del pannello di amministrazione, in modo da potervi accedere in seguito.

5. Sicurezza amministrativa

La sicurezza amministrativa è il fulcro di questo modulo di sicurezza amministrativa PrestaShop: l’insieme di controlli che proteggono l’accesso al back-office, che rappresenta il singolo obiettivo di maggior valore per qualsiasi negozio. Un account amministratore compromesso offre a un aggressore una portata di gran lunga maggiore rispetto a qualsiasi vulnerabilità del front-end, pertanto questa sezione merita la massima attenzione durante la configurazione iniziale.

Autenticazione a due fattori (2FA)

Gli amministratori del negozio possono utilizzare questo Modulo di autenticazione a due fattori per PrestaShop richiedere un codice monouso basato sul tempo da un’app di autenticazione oltre alla normale password, chiudendo il 

Abilita 2FA: Attiva il supporto per l’autenticazione a due fattori tramite l’interruttore; gli amministratori vengono reindirizzati alla pagina per configurare un’app di autenticazione al successivo accesso.

Abilita per tutti gli store, anche se non è ancora obbligatorio.

Inserisci gli indirizzi IP nella lista bianca: Amministratori del negozio con IP aggiunti che saltano completamente l’autenticazione a due fattori, uno per riga o separati da virgole; esentati anche quando l’opzione “Forza” è attiva.

Si consiglia di aggiungere l’ufficio o la casa come rete di sicurezza prima di forzare l’autenticazione a due fattori.

Forza 2FA: È possibile richiedere a tutti gli amministratori non inclusi nella whitelist di configurare l’autenticazione a due fattori prima di poter procedere.

Inoltre, abilita questa funzione solo dopo aver inserito un IP attendibile nella whitelist o aver confermato l’URL di ripristino.

b) Dipendenti

ID: Identifica l’account del dipendente.

Stato dell’autenticazione a due fattori: Mostra se l’autenticazione a due fattori (2FA) è attualmente configurata per quel dipendente, tramite la scheda Stato 2FA.

Si raccomanda di effettuare controlli periodici, soprattutto in seguito a cambi di personale.

Azioni: Reimposta (disabilita) un’iscrizione all’autenticazione a due fattori persa, consentendo al dipendente di configurarla nuovamente.

Da utilizzare immediatamente se un dipendente smarrisce il proprio dispositivo di autenticazione.

Il percorso di implementazione consigliato prevede di abilitare inizialmente l’autenticazione a due fattori (2FA) in modalità facoltativa, per poi attivare l’autenticazione a due fattori obbligatoria una volta che tutti gli utenti si siano registrati. In questo modo si impedisce l’accesso non autorizzato agli account tramite password rubate, indovinate o riutilizzate, poiché una password rubata da sola non è più sufficiente per accedere. Questa soluzione è particolarmente utile per i negozi con accesso remoto o da parte di collaboratori esterni, per le sedi amministrative con più dipendenti o per qualsiasi negozio che abbia già subito una violazione delle credenziali di accesso.

Importante: Non forzare mai l’autenticazione a due fattori (2FA) su tutto il sito senza prima aver inserito nella whitelist almeno un IP attendibile o aver verificato che l’URL di ripristino di emergenza funzioni. Mantieni l’elenco degli IP nella whitelist breve e rivedilo regolarmente, poiché tali indirizzi bypassano completamente la 2FA. La scheda Dipendenti ti consente di recuperare l’accesso all’account di un collega senza disabilitare la protezione 2FA per l’intero negozio, il che è utile in caso di smarrimento o sostituzione del telefono, reinstallazione dell’app e cessazione del rapporto di lavoro. Vale la pena aggiungere il ripristino dello stato della 2FA alla tua checklist standard di cessazione del rapporto di lavoro ogni volta che un dipendente lascia l’azienda.

2. Protezione contro gli attacchi brute-force

Gli amministratori del negozio possono utilizzare questo Modulo di protezione dagli attacchi brute force per PrestaShop per bloccare automaticamente gli indirizzi IP che superano un numero predefinito di tentativi di accesso falliti, interrompendo gli script di credential stuffing senza necessità di monitoraggio manuale.

Abilita la protezione contro gli attacchi di forza brutaQuesta funzionalità blocca temporaneamente un indirizzo IP dopo troppi tentativi di accesso amministrativo non riusciti. Si consiglia di abilitare la protezione contro gli attacchi brute force sul proprio negozio di produzione.

Numero massimo di tentativi: Il numero massimo di tentativi è il numero di tentativi falliti consentiti prima che scatti il ​​ban al tentativo successivo al raggiungimento del limite.

È possibile impostare il valore a 5 tentativi, in quanto si tratta di un valore predefinito ragionevole.

Intervallo di tempo (secondi): Questa finestra mobile è l’intervallo di tempo in cui vengono conteggiati i tentativi falliti.

Tempo di ban (secondi): Questo valore indica per quanto tempo un indirizzo IP bloccato rimane tale nel sistema; il blocco scade automaticamente.

Inserisci gli indirizzi IP nella lista bianca: Aggiungi gli IP mai conteggiati o bloccati e aggiungi gli IP di uffici/VPN affidabili.

Inizia con valori moderati, rivedi il registro dei tentativi di accesso dopo una settimana e restringi le impostazioni se continui a vedere schemi di attacco ripetuti da IP diversi. Questo è il nucleo del modulo di attacco brute force per PrestaShop Funzionalità: neutralizza direttamente i tentativi automatici di indovinare le password senza richiedere il monitoraggio dei log in tempo reale. È consigliabile combinarlo con l’autenticazione a due fattori (2FA) piuttosto che affidarsi esclusivamente alla protezione contro gli attacchi brute-force, poiché quest’ultima rallenta gli aggressori, mentre la 2FA li blocca completamente anche se la password viene indovinata. I blocchi sono automatici e a tempo limitato, quindi non è necessario sbloccare manualmente un indirizzo IP; il blocco si rimuove automaticamente allo scadere del periodo di tempo stabilito.

3. Protezione IP amministratore

Gli amministratori del negozio possono utilizzare questo Modulo di restrizione IP per PrestaShophttps://www.knowband.com/it/prestashop-security-manager limitare l’accesso al back-office a un elenco fisso di indirizzi IP attendibili, bloccando tutti gli altri visitatori, inclusi i bot che non riescono nemmeno a visualizzare la pagina di login.

Limita l’accesso amministrativo tramite IP: Questa funzione consente di limitare l’accesso al Back Office a un elenco specifico di indirizzi IP attendibili.

Come funziona:

Quando questa opzione è abilitata, solo gli indirizzi IP elencati di seguito potranno accedere al tuo Back Office; tutti gli altri visitatori, compresi coloro che tentano di accedere alla pagina di login, verranno bloccati.

Per la tua sicurezza, il tuo indirizzo IP attuale viene automaticamente aggiunto all’elenco degli indirizzi consentiti nel momento in cui abiliti questa opzione, in modo da evitare che tu ti blocchi accidentalmente l’accesso.

Indirizzi IP consentiti (obbligatorio): Solo gli indirizzi IP inseriti qui saranno autorizzati ad accedere al Back Office.

4. Rinominare la cartella Admin

Nascondi il nome della cartella amministratore: Gli amministratori del negozio possono utilizzare questa funzionalità, parte del modulo di sicurezza di PrestaShop, per nascondere l’URL reale del back-office dietro un indirizzo virtuale segreto. In questo modo, il tuo negozio viene escluso dall’elenco dei siti rilevati dagli scanner automatici che cercano di indovinare i nomi comuni delle cartelle amministrative.

Nascondi l’amministratore dietro un nome virtuale:  Quando questa opzione è attiva, l’URL di amministrazione diretto restituisce un errore 404 e il back office è raggiungibile solo tramite l’URL virtuale impostato di seguito. Nome amministratore virtuale: inserisci un nome composto da 3 a 32 lettere, cifre, trattini o underscore. Usa questo nome come segreto, proprio come una password.

5. Autenticazione HTTP (Amministratore)

Gli amministratori del negozio possono utilizzare questa funzionalità per aggiungere una richiesta di nome utente e password a livello di browser, accessibile dall’intero back office, sovrapponendosi al normale login amministrativo di PrestaShop come ulteriore livello di protezione.

Abilita l’autenticazione HTTP per l’amministratore

Questa funzionalità fa parte del modulo di sicurezza di PrestaShop. Questa opzione specifica aggiunge una richiesta di nome utente e password prima ancora che venga caricata la schermata di accesso all’area amministrativa, offrendo un ulteriore livello di sicurezza oltre alle normali credenziali di amministratore.

Abilita l’autenticazione HTTP per l’amministratoreQuando questa opzione è attiva, i visitatori devono inserire nome utente e password in una finestra di dialogo del browser prima di poter visualizzare la schermata di accesso dell’amministratore.

Nome utente / Password: Queste sono le credenziali richieste per la richiesta di autenticazione HTTP. La password viene memorizzata in forma crittografata e non viene mai salvata in chiaro.

Inserisci gli indirizzi IP nella lista bianca: Gli indirizzi IP elencati qui salteranno completamente la richiesta di password.

Compatibilità del server (CGIPassAuth): Questo aggiunge una direttiva necessaria sui server che eseguono PHP come FastCGI/PHP-FPM, dove altrimenti l’intestazione di autenticazione non viene trasmessa correttamente.

6. Monitoraggio degli accessi

Gli amministratori del negozio possono utilizzare questo modulo di sicurezza per l’accesso a PrestaShop Funzionalità per ricevere avvisi in caso di accesso riuscito e per mantenere un registro di controllo scaricabile di ogni tentativo di accesso amministratore.

Notifiche di accesso e registro di controllo

Email di conferma dell’accesso riuscito: Questa opzione invia un’email di notifica ogni volta che un amministratore effettua correttamente l’accesso al back office.

E-mail di notifica: Questo è l’indirizzo a cui vengono inviate le notifiche di accesso. Se lasciato vuoto, verrà utilizzato l’indirizzo email predefinito del tuo negozio.

Registra i tentativi di accesso dell’amministratore:  Questa opzione registra una riga per ogni tentativo di accesso, includendo indirizzo IP, ora, email ed esito, in un file di registro scaricabile.

Registro dei tentativi di accesso: Questo è il registro vero e proprio. I pulsanti di download si attivano non appena vengono create delle voci.

6. Protezione del frontend

La sicurezza frontend protegge il tuo negozio online, la parte del tuo sito con cui ogni cliente e ogni bot interagiscono direttamente. È qui che un Modulo firewall di PrestaShop Modulo captcha per PrestaShop, e un modulo di intestazioni di sicurezza PrestaShop Tutte le funzionalità coesistono, ognuna delle quali affronta una diversa categoria di minacce rivolte al cliente.

Firewall dell’applicazione Web

Gli amministratori del negozio possono utilizzare questo Modulo WAF di PrestaShop per bloccare automaticamente le richieste contenenti vulnerabilità note di SQL injection, cross-site scripting e path-traversal prima che raggiungano il codice sorgente del negozio online.

Intestazioni di sicurezza HTTP

Gli amministratori del negozio possono utilizzare questo modulo di intestazioni di sicurezza PrestaShop Istruire i browser dei visitatori ad applicare automaticamente protezioni aggiuntive, senza alcuna modifica visibile alla vetrina del negozio.

Intestazioni di sicurezza

Queste impostazioni aggiungono piccole istruzioni invisibili che indicano ai browser web come gestire il tuo negozio in modo sicuro. Non è necessario essere esperti di informatica per utilizzarle; la maggior parte è sicura e può essere attivata una volta per tutte.

Protezione XSS
Si tratta di una vecchia funzionalità di sicurezza che aiuta a bloccare un certo tipo di attacco. La maggior parte dei browser moderni offre ora una protezione integrata migliore, ma attivarla non crea alcun problema; pensatela come un blocco di sicurezza aggiuntivo per i browser più datati.

Protezione anti-click
Questo impedisce ad altri siti web di visualizzare segretamente il tuo negozio all’interno di un frame nascosto sulla propria pagina, un trucco a volte utilizzato per indurre i visitatori a cliccare su elementi che non intendevano cliccare.

Protezione contro l’intercettazione dei contenuti
A volte i browser cercano di “indovinare” il tipo di file che stanno visualizzando, una vulnerabilità che può essere sfruttata dagli aggressori. Questa impostazione indica ai browser di fidarsi del tipo di file specificato dal tuo archivio, anziché tentare di indovinarlo.

Navigazione solo HTTPS (HSTS)
Questo indica ai browser di connettersi sempre al tuo negozio utilizzando la versione sicura e crittografata del tuo sito (HTTPS), mai quella non protetta.

Includi sottodomini / Precarica
Questo estende la stessa regola di connessione sicura a tutti i sottodomini che utilizzi (come blog.yourstore.com) e può facoltativamente registrare il tuo negozio in un elenco globale che i browser controllano automaticamente.

Politica di riferimento
Quando qualcuno clicca su un link dal tuo negozio a un altro sito, i browser in genere condividono alcune informazioni sulla provenienza del visitatore. Questa impostazione limita la quantità di informazioni condivise.

Politica sulle autorizzazioni
Questa impostazione consente di controllare quali funzionalità del dispositivo, come la fotocamera o il microfono, le pagine del tuo negozio possono utilizzare nel browser di un visitatore.

Protezione Spam

Gli amministratori del negozio possono utilizzare questo Modulo di protezione antispam per PrestaShop and Modulo captcha per PrestaShop Funzionalità per aggiungere automaticamente la verifica CAPTCHA ai moduli di contatto e di registrazione clienti.

1. Protezione antispam (CAPTCHA)

Questa caratteristica fa parte della Modulo di sicurezza PrestaShop, aiutando a impedire che bot e spammer inondino i moduli di contatto e di registrazione con invii indesiderati. Come integrato modulo antispam per PrestaShop and Modulo captcha per PrestaShop, funziona insieme ad altri strumenti come un Modulo reCAPTCHA per PrestaShop, Modulo tornello Cloudflare per PrestaShope Modulo hCaptcha per PrestaShop, tutto progettato per verificare che a inviare i moduli sia un visitatore reale e non un bot.

Abilita la protezione antispam
Quando attivata, questa opzione aggiunge un controllo CAPTCHA ai moduli di contatto e di registrazione. Il controllo avviene sul server prima che il modulo venga accettato, quindi non può essere aggirato.

Provider
Qui puoi scegliere quale servizio CAPTCHA utilizzare: Cloudflare Turnstile, Google reCAPTCHA o hCaptcha. Ognuno funziona in modo leggermente diverso, ma tutti hanno lo stesso scopo: bloccare lo spam automatico.

Chiave del sito / Chiave segreta
Si tratta di codici speciali forniti dal servizio CAPTCHA da te scelto, che collegano in modo sicuro il tuo negozio a tale servizio.

Tema widget
Questa opzione controlla l’aspetto della finestra CAPTCHA, ad esempio Automatico, Chiaro o Scuro.

2. [Nuovo] Campo di Honeypot

Honeypot aggiunge un ulteriore livello di protezione antispam al tuo frontend inserendo campi invisibili all’interno di moduli selezionati. I visitatori o i clienti reali non vedranno mai questi campi, ma i bot automatici che tentano di compilarli tutti possono essere individuati e bloccati. Questa protezione leggera e semplice riduce lo spam, gli account falsi e gli accessi non autorizzati, mantenendo al contempo un’esperienza di acquisto fluida per i clienti reali.

Honeypot abilitatoAttiva questa impostazione per abilitare la protezione Honeypot sul tuo negozio. Una volta attivata, il modulo aggiunge silenziosamente un campo nascosto ai moduli selezionati. Se un bot compila questo campo nascosto, l’invio viene contrassegnato come sospetto e bloccato prima ancora di essere elaborato.

Moduli protetti: Scegli quali moduli devono essere protetti dalla protezione Honeypot. Il modulo supporta:

Registrazione – Blocca la creazione automatica di account e le registrazioni false.

Accedi– Blocca i tentativi di accesso automatizzati e gli attacchi basati su bot.

Contatti Blocca i messaggi di spam e le richieste automatiche dalla tua casella di posta.

Newsletter– Impedisce iscrizioni false o automatiche alla newsletter. Nota: questo dipende dal modulo newsletter e dalla configurazione del tema. Se il modulo non viene trovato in una pagina, la protezione viene automaticamente ignorata.

Commenti sul prodotto– Protegge i moduli di recensione e commento da spam e inserimenti automatici. Nota: questa funzionalità dipende dal modulo Commenti prodotto e dalla configurazione del tema. Se il modulo non è disponibile, la protezione viene automaticamente disabilitata.

3.0 Progetti HoneyPot

Abilitare il progetto Honeypot: Attiva/disattiva la scheda per l’intera funzionalità. Quando è abilitata, l’indirizzo IP di ogni visitatore viene controllato rispetto a Http: BL (la blacklist basata su DNS di Project Honeypot) non appena carica una pagina. Questo è ciò che la rende “proattiva” rispetto a un campo modulo honeypot, che reagisce solo quando qualcuno invia effettivamente un modulo.
Chiave di accessoLa chiave di accesso è un identificativo di 12 caratteri minuscoli rilasciato da Project Honeypot che collega le tue ricerche HTTP:BL al tuo account. Non è una credenziale segreta (non garantisce l’accesso a nulla), ma indica semplicemente al servizio DNS quale sito sta effettuando la richiesta, in modo simile a una chiave API utilizzata per l’attribuzione/limitazione delle richieste anziché per l’autenticazione.
Modalità solo osservatoreGli indirizzi IP vengono ricercati e classificati, e tutto viene registrato, ma nessuno viene mai bloccato. Questa è una fase di raccolta dati.
Ambito del registro: Log Scope nel modulo di sicurezza di PrestaShop controlla la quantità di informazioni che vengono scritte nel registro di classificazione.
Solo indirizzi IP segnalati: più leggero, registra solo i visitatori che Http: BL considera rischiosi.
Tutti i visitatoriRegistra la classificazione di ogni visitatore, inclusi quelli “sicuri”, utile per creare un quadro di riferimento della reputazione complessiva del tuo traffico. Cresce rapidamente, quindi le voci vengono eliminate automaticamente dopo 7 giorni.

Durata del ban (secondi): Rilevante solo quando si è in modalità Azione (IP segnalato). Imposta per quanto tempo un IP bloccato rimane bloccato prima di poter riprovare.

IP da inserire nella whitelist- È possibile inserire gli IP nella whitelist in modo che non vengano mai bloccati. Registro di classificazione: questo registro mostra l’IP di ciascun visitatore, la sua classificazione (Sicuro, Sospetto, Raccoglitore o Spammer di commenti) e se il sistema lo ha semplicemente osservato o lo ha effettivamente bloccato. Questo è ciò che si esamina durante la fase di osservazione per verificare la presenza di falsi positivi prima di passare alla modalità di azione.

Protezione contro le carte contraffatte

Protezione contro la manomissione del carrello

Questa funzionalità viene utilizzata per bloccare la manipolazione automatizzata del carrello basata su GET, una tecnica comune basata su script che si distingue dalle azioni di aggiunta al carrello reali effettuate da acquirenti reali. Gli amministratori del negozio possono fare affidamento su questo Knowband una funzionalità per proteggere il loro negozio da bot o script che tentano di aggiungere articoli al carrello manipolando direttamente un URL, invece di cliccare normalmente sul sito del negozio.

Protezione del contenuto

Gli amministratori del negozio possono utilizzare questo modulo di protezione dei contenuti di PrestaShop per scoraggiare la copia non autorizzata di testi e immagini della vetrina.

Abilita la protezione dei contenuti
Questa funzione funge da interruttore principale per la protezione dei contenuti. Tieni presente che funziona solo come deterrente: un utente determinato può comunque aggirarla utilizzando gli strumenti per sviluppatori del proprio browser.

Disabilita Copia / Taglia / Incolla
Questa funzione serve a bloccare le scorciatoie da tastiera che i visitatori userebbero normalmente per copiare, tagliare o incollare contenuti dalle tue pagine.

Disattiva la visualizzazione del codice sorgente (Ctrl+U)
Questa funzione serve a bloccare il collegamento rapido del browser che permette ai visitatori di visualizzare il codice sorgente della tua pagina.

Disabilita il menu contestuale del clic destro
Questa funzione serve a rimuovere il menu contestuale che appare cliccando con il tasto destro del mouse, impedendo così ai visitatori di salvare immagini o copiare contenuti.

Disabilita la selezione del testo
Questa funzione serve a impedire ai visitatori di evidenziare o selezionare il testo sulla pagina.

Disabilita gli Strumenti per sviluppatori / Ispeziona (F12)
Questa funzione serve a bloccare le scorciatoie da tastiera F12, Ctrl+Shift+I e Ctrl+Shift+J. Si noti che non impedisce l’apertura degli Strumenti per sviluppatori tramite il menu del browser.

Indirizzi IP consentiti (Personale)
Gli amministratori del negozio possono utilizzare questo campo per elencare gli indirizzi IP che aggirano tutte le restrizioni di protezione dei contenuti.

Autenticazione HTTP (Frontend)

Gli amministratori del negozio possono utilizzare questo Knowband Modulo di protezione con password per PrestaShop, che consente di proteggere l’intero negozio online tramite nome utente e password inseriti direttamente nel browser. Questo modulo è separato dall’autenticazione HTTP dell’amministratore, descritta nella Sezione 7.

Abilita l’autenticazione HTTP per il negozio online.
Questa funzione viene utilizzata per aggiungere una richiesta di password davanti all’intero sito web, prima che sia possibile visualizzare qualsiasi pagina.

Nome utente / Password
Gli amministratori del negozio possono utilizzare questo campo per impostare credenziali specifiche per il negozio online, che verranno memorizzate in forma crittografata.

IP della lista bianca
Gli amministratori del negozio possono utilizzare questo campo per elencare gli indirizzi IP che ignorano completamente la richiesta di password del negozio.

Questa funzione serve a mantenere privato un negozio in fase di pre-lancio o di test, impedendone l’accesso ai motori di ricerca e ai visitatori occasionali. L’ostacolo è intenzionale: questa impostazione è pensata per bloccare completamente l’accesso, non per operare in modo invisibile in background.

Se la richiesta di password continua a ripetersi anche dopo l’inserimento corretto su un server che esegue FastCGI/PHP-FPM, gli amministratori del negozio possono abilitare l’impostazione CGIPassAuth nella sezione Autenticazione HTTP di amministrazione, nella scheda 5 della sezione 7. Tale impostazione si applica sia alla richiesta di password per l’area amministrativa che a quella per il negozio online.

7. Protezione antimalware

La protezione antimalware completa il modulo con la scansione programmata dell’integrità dei file, un livello che opera indipendentemente dalla sicurezza dell’accesso e dalla protezione del negozio online, focalizzato esclusivamente sul rilevamento di modifiche non autorizzate ai file dell’installazione.

Impostazioni profilo

Abilita l’antimalware
Questa funzione funge da interruttore principale per lo scanner antimalware. Quando è disabilitata, l’endpoint di scansione termina immediatamente senza eseguire alcuna scansione.

Avviso via email sulle nuove minacce
Questa funzione viene utilizzata per inviare un avviso all’indirizzo email dell’amministratore del negozio ogni volta che una scansione rileva minacce nuove o modificate. Gli avvisi ripetuti per falsi positivi noti vengono automaticamente soppressi, quindi non riceverai due volte una notifica relativa allo stesso articolo.

Escludi percorsi
Gli amministratori del negozio possono utilizzare questo campo per elencare i percorsi relativi, uno per riga, che devono essere ignorati durante la scansione. Ciò è utile per sopprimere i falsi positivi noti, come le directory dei fornitori.

URL CRON
Questa funzionalità viene utilizzata per fornire un URL univoco protetto da token che attiva una scansione ogni volta che viene richiesto dallo scheduler del server.

Per configurare tutto correttamente, abilita la funzionalità, attiva gli avvisi via e-mail e aggiungi l’URL CRON alle attività pianificate del pannello di controllo del tuo hosting (o direttamente al crontab del tuo server se lo gestisci autonomamente), in genere programmate per le ore non di punta come le 2 del mattino. Gli avvisi vengono inviati solo per minacce effettivamente nuove o modificate; una volta che un file è stato rilevato e escluso o confermato, gli avvisi ripetuti per lo stesso elemento noto vengono soppressi, in modo che la tua casella di posta non venga inondata dallo stesso ritrovamento notte dopo notte.

Rapporti di scansione

ID
Questa funzione viene utilizzata per assegnare un identificatore sequenziale a ogni ciclo di scansione, rendendo facile il riferimento alle singole scansioni.

Data
Questa funzione viene utilizzata per registrare quando è stata eseguita ciascuna scansione.

Innescato da
Questa funzione viene utilizzata per mostrare se una scansione è stata eseguita manualmente o tramite un’attività CRON pianificata.

File scansionati
Questa funzione viene utilizzata per visualizzare il numero totale di file controllati durante quella scansione.

Minacce
Questa funzione viene utilizzata per mostrare il numero di file nuovi o modificati segnalati durante la scansione.

Durata
Questa funzione viene utilizzata per registrare il tempo impiegato per completare la scansione.

Stato
Questa funzione viene utilizzata per indicare lo stato di completamento della scansione.

Visualizar relatório
Gli amministratori del negozio possono utilizzare questa opzione per visualizzare i risultati dettagliati di quella specifica scansione.

8. CONCLUSIONE

PrestaShop Security Manager riunisce le protezioni di cui la maggior parte dei negozi finisce per aver bisogno singolarmente, tra cui un Modulo di autenticazione a due fattori per PrestaShop modulo di attacco brute force per PrestaShop Modulo firewall di PrestaShop Modulo captcha per PrestaShope la scansione antimalware per l’integrità dei file, in un unico sistema configurato centralmente. backend sicuro di PrestaShopConfigurato con cura, a partire dal monitoraggio degli accessi e dall’URL di ripristino di emergenza, prima di aggiungere controlli più restrittivi, riduce significativamente le vie di attacco più comuni che prendono di mira i negozi PrestaShop, senza creare problemi né ai clienti né al tuo team.