Security/OWASP: Anleitungen und Praxiswissen | Seite 4 | mironsoft Blog
Security/OWASP
-
25.02.2026
Ungeprüfte Composer Abhängigkeiten zählen zu den häufigsten Einfallstoren in Magento und PHP Projekten. Dieser Artikel zeigt, wie composer audit, Roave Security Advisories und automatisierte CI Pipelines bekannte Schwachstellen zuverlässig aufdecken, bevor sie in Produktion landen, und wie Teams echtes Risiko von reinem Scan Rauschen unterscheiden, ohne jede einzelne Warnung manuell zu prüfen.
-
22.02.2026
Ein Datenbank-Passwort in einer .env-Datei oder einer Pipeline-Variable ist ein Secret, das irgendwann in einem Log, einem Backup oder einer History-Datei landet. Vault-Secrets, die Bash-Skripte zur Laufzeit gezielt abrufen, prüfen und danach nirgendwo persistieren, schließen genau diese Lücke, inklusive dynamischer Datenbank-Credentials und automatischer Rotation.
-
22.02.2026
Bei REST-APIs verlassen sich viele Teams auf simple Content-Type-Prüfungen oder auf die Annahme, dass Cross-Site-Requests ohnehin nur GET-Anfragen betreffen. GraphQL bündelt Queries und Mutations hinter einem einzigen POST-Endpunkt und macht diese Annahmen wertlos. Wer eine GraphQL-API mit Cookie-basierten Sessions betreibt, braucht einen expliziten CSRF-Schutz, der die Besonderheiten des einzelnen Endpunkts berücksichtigt.
-
18.02.2026
Eine bequeme Remember-Me-Funktion und eine sichere Session schließen sich nicht aus, wenn man die richtigen Bausteine kennt. Dieser Guide zeigt persistente Remember-Me-Tokens statt unsicherer signierter Cookies, Schutz vor Session-Fixation und eine Timeout-Strategie, die zur tatsächlichen Sensitivität der Anwendung passt.
-
17.02.2026
OAuth 2.0 regelt Autorisierung, OpenID Connect ergänzt die fehlende Identitätsschicht, und wer beides verwechselt, baut unsichere Logins. Dieser Artikel erklärt den Authorization Code Flow mit PKCE als aktuellen Standard, zeigt typische Implementierungsfehler bei Redirect URIs, State und Nonce, und beschreibt, wie sich ein Social Login sicher in einen Magento Shop integrieren lässt.
-
14.02.2026
Eine klassische Firewall filtert Netzwerkverkehr nach IP-Adresse und Port, sieht aber nicht, was in einer HTTP-Anfrage steht. Eine Web Application Firewall prüft genau diesen Inhalt und erkennt Angriffsmuster wie SQL-Injection oder Cross-Site-Scripting. Dieser Artikel erklärt den Unterschied, zeigt Regeltypen, False-Positive-Tuning und praktische Konfigurationsgrundlagen für ModSecurity und Cloud-WAFs wie Cloudflare oder AWS WAF.
-
13.02.2026
Jedes Mal, wenn eine Seite ein Skript von einem fremden CDN einbindet, verlässt sie sich stillschweigend darauf, dass genau der Code ausgeliefert wird, der beim letzten Test gelaufen ist. Wird dieses CDN kompromittiert, ändert sich der Inhalt der Datei, aber die eingebundene URL bleibt identisch, und der Browser lädt anstandslos den manipulierten Code aus. Subresource Integrity setzt genau hier an: Ein Hash-Wert im HTML vergleicht den tatsächlich empfangenen Inhalt mit dem erwarteten Inhalt und blockiert die Ausführung bei jeder Abweichung.
-
13.02.2026
Das Magento-Backend unter dem Standardpfad /admin gehört zu den am häufigsten automatisiert gescannten Zielen jedes Shops im Internet. Mit einem individuellen Admin-Pfad, verpflichtender Zwei-Faktor-Authentifizierung, konsequentem IP-Whitelisting auf Webserver-Ebene, kurzen Session-Timeouts sowie einem regelmäßigen Account- und Rollen-Audit schließt ihr die häufigsten Einfallstore, bevor automatisierte Angriffe und Credential-Stuffing-Versuche überhaupt eine Chance bekommen.
-
10.02.2026
Verstreute mysql_-Aufrufe und String-verkettete SQL-Abfragen sind eines der häufigsten und gefährlichsten Erbstücke alter PHP-Projekte. Dieser Artikel zeigt, wie man solche Legacy-Datenbankzugriffe systematisch durch eine einheitliche PDO-Schicht mit Prepared Statements ersetzt, ohne den Betrieb zu unterbrechen.
-
08.02.2026
Ein einziger versehentlicher Commit mit Datenbank-Zugangsdaten oder dem Crypt Key aus app/etc/env.php kann ein komplettes Magento-Projekt kompromittieren, selbst wenn das Repository später wieder privat gesetzt wird. Dieser Artikel zeigt, welche Dateien niemals in Git landen dürfen, wie eine saubere gitignore Baseline aussieht und wie Secrets Manager sowie Pre Commit Scanning das zuverlässig verhindern.