Seite 2 - Security/OWASP

OAuth 2.0 regelt Autorisierung, OpenID Connect ergänzt die fehlende Identitätsschicht, und wer beides verwechselt, baut unsichere Logins. Dieser Artikel erklärt den Authorization Code Flow mit PKCE als aktuellen Standard, zeigt typische Implementierungsfehler bei Redirect URIs, State und Nonce, und beschreibt, wie sich ein Social Login sicher in einen Magento Shop integrieren lässt.

Eine klassische Firewall filtert Netzwerkverkehr nach IP-Adresse und Port, sieht aber nicht, was in einer HTTP-Anfrage steht. Eine Web Application Firewall prüft genau diesen Inhalt und erkennt Angriffsmuster wie SQL-Injection oder Cross-Site-Scripting. Dieser Artikel erklärt den Unterschied, zeigt Regeltypen, False-Positive-Tuning und praktische Konfigurationsgrundlagen für ModSecurity und Cloud-WAFs wie Cloudflare oder AWS WAF.

Das Magento-Backend unter dem Standardpfad /admin gehört zu den am häufigsten automatisiert gescannten Zielen jedes Shops im Internet. Mit einem individuellen Admin-Pfad, verpflichtender Zwei-Faktor-Authentifizierung, konsequentem IP-Whitelisting auf Webserver-Ebene, kurzen Session-Timeouts sowie einem regelmäßigen Account- und Rollen-Audit schließt ihr die häufigsten Einfallstore, bevor automatisierte Angriffe und Credential-Stuffing-Versuche überhaupt eine Chance bekommen.

Ein einziger versehentlicher Commit mit Datenbank-Zugangsdaten oder dem Crypt Key aus app/etc/env.php kann ein komplettes Magento-Projekt kompromittieren, selbst wenn das Repository später wieder privat gesetzt wird. Dieser Artikel zeigt, welche Dateien niemals in Git landen dürfen, wie eine saubere gitignore Baseline aussieht und wie Secrets Manager sowie Pre Commit Scanning das zuverlässig verhindern.

Ein gültiges TLS-Zertifikat allein schützt einen Magento-Shop nicht vor Clickjacking, MIME-Sniffing oder stillen Datenlecks über den Referrer-Header. Dieser Artikel zeigt praxisnah, wie HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy und CSP frame-ancestors zusammenspielen, wie sich diese Header korrekt am Webserver oder CDN statt im Anwendungscode setzen lassen und wie Scanner wie securityheaders.com die resultierende Sicherheit bewerten.

SQL-Injection zählt seit Jahren zu den gefährlichsten Schwachstellen in Webanwendungen und ermöglicht Angreifern das Auslesen, Verändern oder Löschen kompletter Datenbanken über manipulierte Eingabefelder. Dieser Artikel erklärt die Mechanik von klassischer und blinder SQL-Injection, zeigt warum Escaping allein nicht ausreicht und liefert praxisnahe Lösungen mit Prepared Statements, sicheren ORM-Mustern und der Magento ResourceConnection API.

Security-Reviews scheitern selten an fehlendem Wissen, sondern an fehlender Systematik im Alltag der Pull-Request-Praxis. Dieser Artikel liefert eine konkrete Checkliste für Input-Validierung, Berechtigungsprüfungen und Output-Encoding, zeigt typische blinde Flecken bei internen und admin-only Code-Pfaden auf und erklärt, wie manuelles Review und automatisiertes Tooling sich sinnvoll ergänzen, damit Sicherheitslücken schon vor dem Merge auffallen und nicht erst im Live-Betrieb.

Wer Passwörter mit MD5 oder SHA-1 hasht, öffnet Angreifern nach einem Datenbank-Leak Tür und Tor für Brute-Force und Rainbow-Table-Angriffe. Dieser Artikel erklärt, wie bcrypt und Argon2id funktionieren, wie ihr sie mit PHP's password_hash() korrekt einsetzt und welche Fehler bei Salt, Cost-Faktor und Rehashing in der Praxis am häufigsten passieren.

Login-Formulare ohne durchdachten Brute-Force-Schutz gehören zu den am häufigsten ausgenutzten Einfallstoren in Magento-Shops. Dieser Artikel zeigt, wie Rate-Limiting, progressive Verzögerung, Account-Lockout und risikobasiertes CAPTCHA zusammenspielen, ohne legitime Kunden auszusperren oder die Conversion zu belasten, inklusive Magentos eingebauter Schutzmechanismen und konkreter Konfigurationsbeispiele.

fail2ban überwacht Log-Dateien von SSH und Webanwendungen in Echtzeit, erkennt wiederholte Fehlanmeldungen anhand konfigurierbarer Muster und sperrt die verursachende IP-Adresse automatisch über die Firewall. Dieser Artikel zeigt, wie Administratoren Jails für SSH und Web-Logins korrekt konfigurieren, Bannzeiten sinnvoll abstimmen und die Aktivität von fail2ban dauerhaft überwachen, ohne legitime Nutzer versehentlich auszusperren.