Tag: Security

1. JWT-Sicherheitsfallen: Was bei Tokens oft schiefgeht

   24.04.2026

   JSON Web Tokens gelten als moderner Standard für zustandslose Authentifizierung, doch fehlerhafte Implementierungen öffnen Angreifern Tür und Tor. Dieser Artikel zeigt die häufigsten Fallstricke wie Algorithmus-Verwirrung, ungeschützte Payload-Daten und unsichere Speicherung und liefert konkrete, geprüfte PHP-Lösungen für robuste API-Authentifizierung.

   Read more

2. Git-Secrets-Leaks vermeiden und aufräumen

   01.04.2026

   Ein einmal committetes Secret bleibt in der Git-Historie erreichbar, auch nach dem Löschen der Datei. Dieser Artikel zeigt, warum das so ist, wie Pre-Commit-Hooks und CI-Scanner Leaks von vornherein verhindern, und welche Reihenfolge bei einem echten Vorfall zählt: zuerst die Zugangsdaten rotieren, dann die Historie bereinigen.

   Read more

3. PCI-DSS-Grundlagen: Zahlungsdaten sicher verarbeiten

   25.03.2026

   Wer Kartendaten direkt im eigenen Shop verarbeitet oder speichert, vervielfacht den Aufwand für Audits, Netzwerksegmentierung und jährliche Zertifizierung. Hosted Fields, Iframe-Tokenisierung und Redirect-Zahlungen halten Magento-Shops konsequent außerhalb des PCI-Scopes, reduzieren den Self-Assessment-Aufwand auf SAQ A und schützen Kunden gleichzeitig vor Datendiebstahl und Skimming-Angriffen.

   Read more

4. Command Injection vermeiden: escapeshellarg und Alternativen

   13.03.2026

   Wer Nutzereingaben ungeprüft in shell_exec, exec oder system einbaut, öffnet Angreifern die Tür zur vollständigen Kontrolle über den Server. Dieser Artikel zeigt, wie Command Injection in PHP-Anwendungen entsteht, wo escapeshellarg und escapeshellcmd wirklich helfen und an ihre Grenzen stoßen, und warum native PHP-Bibliotheken und die Symfony Process Komponente die robusteste Lösung sind.

   Read more

5. Sichere File-Uploads: Validierung, Speicherung, Ausführung verhindern

   13.03.2026

   Upload-Formulare zählen zu den gefährlichsten Eintrittspunkten in Webanwendungen, weil Angreifer Dateien gezielt so präparieren, dass sie jede oberflächliche Prüfung bestehen. Wer sich allein auf Dateiendung und Content-Type verlässt, öffnet die Tür für Webshells und ausführbaren Code. Dieser Artikel zeigt, wie Magic-Byte-Validierung, sichere Speicherung außerhalb des Webroots, Dateinamen-Sanitization und Bild-Reencoding echten Schutz aufbauen.

   Read more

6. Output-Encoding: Warum Escaping kontextabhängig sein muss

   03.03.2026

   Ein einziges universelles Escaping bringt Magento- und Hyvä-Shops in Gefahr, weil HTML, Attribute, JavaScript, URLs und CSS jeweils eigene Syntaxregeln und eigene Angriffsvektoren haben. Dieser Artikel zeigt, warum htmlspecialchars allein nicht reicht, wie die Hyvä-Escaper-Klasse den passenden Kontext trifft und wie Content-Security-Policy als zusätzliche Verteidigungslinie wirkt.

   Read more

7. Dependency-Scanning mit Composer Audit und Co.

   25.02.2026

   Ungeprüfte Composer Abhängigkeiten zählen zu den häufigsten Einfallstoren in Magento und PHP Projekten. Dieser Artikel zeigt, wie composer audit, Roave Security Advisories und automatisierte CI Pipelines bekannte Schwachstellen zuverlässig aufdecken, bevor sie in Produktion landen, und wie Teams echtes Risiko von reinem Scan Rauschen unterscheiden, ohne jede einzelne Warnung manuell zu prüfen.

   Read more

8. OAuth 2.0 und OpenID Connect: Grundlagen für Entwickler

   17.02.2026

   OAuth 2.0 regelt Autorisierung, OpenID Connect ergänzt die fehlende Identitätsschicht, und wer beides verwechselt, baut unsichere Logins. Dieser Artikel erklärt den Authorization Code Flow mit PKCE als aktuellen Standard, zeigt typische Implementierungsfehler bei Redirect URIs, State und Nonce, und beschreibt, wie sich ein Social Login sicher in einen Magento Shop integrieren lässt.

   Read more

9. Firewall- und WAF-Grundlagen für Web-Anwendungen

   14.02.2026

   Eine klassische Firewall filtert Netzwerkverkehr nach IP-Adresse und Port, sieht aber nicht, was in einer HTTP-Anfrage steht. Eine Web Application Firewall prüft genau diesen Inhalt und erkennt Angriffsmuster wie SQL-Injection oder Cross-Site-Scripting. Dieser Artikel erklärt den Unterschied, zeigt Regeltypen, False-Positive-Tuning und praktische Konfigurationsgrundlagen für ModSecurity und Cloud-WAFs wie Cloudflare oder AWS WAF.

   Read more

10. Magento-Admin-Panel härten: Zugriff, 2FA, IP-Whitelisting

    13.02.2026

    Das Magento-Backend unter dem Standardpfad /admin gehört zu den am häufigsten automatisiert gescannten Zielen jedes Shops im Internet. Mit einem individuellen Admin-Pfad, verpflichtender Zwei-Faktor-Authentifizierung, konsequentem IP-Whitelisting auf Webserver-Ebene, kurzen Session-Timeouts sowie einem regelmäßigen Account- und Rollen-Audit schließt ihr die häufigsten Einfallstore, bevor automatisierte Angriffe und Credential-Stuffing-Versuche überhaupt eine Chance bekommen.

    Read more