Seite 4 - Security/OWASP

Ungeprüfte Composer Abhängigkeiten zählen zu den häufigsten Einfallstoren in Magento und PHP Projekten. Dieser Artikel zeigt, wie composer audit, Roave Security Advisories und automatisierte CI Pipelines bekannte Schwachstellen zuverlässig aufdecken, bevor sie in Produktion landen, und wie Teams echtes Risiko von reinem Scan Rauschen unterscheiden, ohne jede einzelne Warnung manuell zu prüfen.

Ein Datenbank-Passwort in einer .env-Datei oder einer Pipeline-Variable ist ein Secret, das irgendwann in einem Log, einem Backup oder einer History-Datei landet. Vault-Secrets, die Bash-Skripte zur Laufzeit gezielt abrufen, prüfen und danach nirgendwo persistieren, schließen genau diese Lücke, inklusive dynamischer Datenbank-Credentials und automatischer Rotation.

Bei REST-APIs verlassen sich viele Teams auf simple Content-Type-Prüfungen oder auf die Annahme, dass Cross-Site-Requests ohnehin nur GET-Anfragen betreffen. GraphQL bündelt Queries und Mutations hinter einem einzigen POST-Endpunkt und macht diese Annahmen wertlos. Wer eine GraphQL-API mit Cookie-basierten Sessions betreibt, braucht einen expliziten CSRF-Schutz, der die Besonderheiten des einzelnen Endpunkts berücksichtigt.

Eine bequeme Remember-Me-Funktion und eine sichere Session schließen sich nicht aus, wenn man die richtigen Bausteine kennt. Dieser Guide zeigt persistente Remember-Me-Tokens statt unsicherer signierter Cookies, Schutz vor Session-Fixation und eine Timeout-Strategie, die zur tatsächlichen Sensitivität der Anwendung passt.

OAuth 2.0 regelt Autorisierung, OpenID Connect ergänzt die fehlende Identitätsschicht, und wer beides verwechselt, baut unsichere Logins. Dieser Artikel erklärt den Authorization Code Flow mit PKCE als aktuellen Standard, zeigt typische Implementierungsfehler bei Redirect URIs, State und Nonce, und beschreibt, wie sich ein Social Login sicher in einen Magento Shop integrieren lässt.

Eine klassische Firewall filtert Netzwerkverkehr nach IP-Adresse und Port, sieht aber nicht, was in einer HTTP-Anfrage steht. Eine Web Application Firewall prüft genau diesen Inhalt und erkennt Angriffsmuster wie SQL-Injection oder Cross-Site-Scripting. Dieser Artikel erklärt den Unterschied, zeigt Regeltypen, False-Positive-Tuning und praktische Konfigurationsgrundlagen für ModSecurity und Cloud-WAFs wie Cloudflare oder AWS WAF.

Jedes Mal, wenn eine Seite ein Skript von einem fremden CDN einbindet, verlässt sie sich stillschweigend darauf, dass genau der Code ausgeliefert wird, der beim letzten Test gelaufen ist. Wird dieses CDN kompromittiert, ändert sich der Inhalt der Datei, aber die eingebundene URL bleibt identisch, und der Browser lädt anstandslos den manipulierten Code aus. Subresource Integrity setzt genau hier an: Ein Hash-Wert im HTML vergleicht den tatsächlich empfangenen Inhalt mit dem erwarteten Inhalt und blockiert die Ausführung bei jeder Abweichung.

Das Magento-Backend unter dem Standardpfad /admin gehört zu den am häufigsten automatisiert gescannten Zielen jedes Shops im Internet. Mit einem individuellen Admin-Pfad, verpflichtender Zwei-Faktor-Authentifizierung, konsequentem IP-Whitelisting auf Webserver-Ebene, kurzen Session-Timeouts sowie einem regelmäßigen Account- und Rollen-Audit schließt ihr die häufigsten Einfallstore, bevor automatisierte Angriffe und Credential-Stuffing-Versuche überhaupt eine Chance bekommen.

Verstreute mysql_-Aufrufe und String-verkettete SQL-Abfragen sind eines der häufigsten und gefährlichsten Erbstücke alter PHP-Projekte. Dieser Artikel zeigt, wie man solche Legacy-Datenbankzugriffe systematisch durch eine einheitliche PDO-Schicht mit Prepared Statements ersetzt, ohne den Betrieb zu unterbrechen.

Ein einziger versehentlicher Commit mit Datenbank-Zugangsdaten oder dem Crypt Key aus app/etc/env.php kann ein komplettes Magento-Projekt kompromittieren, selbst wenn das Repository später wieder privat gesetzt wird. Dieser Artikel zeigt, welche Dateien niemals in Git landen dürfen, wie eine saubere gitignore Baseline aussieht und wie Secrets Manager sowie Pre Commit Scanning das zuverlässig verhindern.