- Habilitación de la invalidación de contraseña
La invalidación de contraseña, cuando está habilitada, requiere que los usuarios de HCL Commerce cambien su contraseña si la contraseña de usuario ha caducado. En este caso, se redirige al usuario a una página en la que se le pide que cambie su contraseña. Los usuarios no pueden acceder a ninguna página segura en el sitio hasta que cambie su contraseña.
- Cifrado de datos
Esta sección contiene información sobre los pasos importantes necesarios cuando se asegura la seguridad del sitio. Existen diferentes opciones de cifrado disponibles incluyendo la información sobre Key Locator Framework, donde se cifran los datos, cómo cambiar las claves de cifrado de sesión y cómo desarrollar el código personalizado utilizando EncryptionFactory.
- Implementación de la versión TLS 1.2
Requiera el uso de la última versión del protocolo de seguridad TLS para comunicación con el sitio. Este proceso garantiza que cualquier debilidad en versiones anteriores y protocolos menos seguros no pueden ser utilizados por partes malintencionadas para obtener datos confidenciales.
- Habilitación de la seguridad con cabeceras HTTP
Puede utilizar cabeceras HTTP para pasar información relacionada con la seguridad entre el servidor y el cliente. Las cabeceras están disponibles para evitar ataques de man-in-the-middle, script entre sitios, rastreo de contenido y clickjacking.
- Habilitación de la protección contra la vulnerabilidad Cross Site Scripting
Cuando está habilitada, la protección contra la vulnerabilidad Cross-Site Scripting rechaza las peticiones de usuario que contienen atributos (parámetros) o series que están designadas como no permitidos. También puede excluir mandatos de la protección contra la vulnerabilidad Cross-Site Scripting permitiendo que los valores de atributos especificados para dichos mandatos en concreto contengan series prohibidas. La protección contra la vulnerabilidad Cross-Site Scripting está habilitada de forma predeterminada.
- Habilitar la falsificación de solicitudes en la primavera
La falsificación de petición Cross-Site (CSRF) es un tipo de intrusión malintencionada que engaña al usuario para que envíe peticiones no intencionadas. Por ejemplo, un intruso puede engañar a un usuario autenticado para que Pulse un enlace y actualice su información personal. HCL Commerce acepta esta solicitud como válida, ya que existen cookies de sesión adecuadas como parte de la solicitud.
- Inhabilitación de la protección contra la vulnerabilidad Cross-Site Scripting para el Centro de gestión
Cuando está habilitada, la protección contra la vulnerabilidad Cross-Site Scripting rechaza las peticiones de usuario que contienen atributos (parámetros) o series que están designadas como no permitidos. También puede excluir mandatos de la protección contra la vulnerabilidad Cross-Site Scripting permitiendo que los valores de atributos especificados para dichos mandatos en concreto contengan series prohibidas. La protección contra la vulnerabilidad Cross-Site Scripting está habilitada de forma predeterminada, pero puede habilitarla para cubrir las necesidades de seguridad.
- Habilitación de la validación de datos de lista blanca
Cuando está habilitada, la validación de datos de lista blanca asegura que, cuando se ejecuta una vista o un mandato de URL, los valores de parámetro se ajustan a una expresión regular especificada. Por ejemplo, puede configurarla de modo que el storeId deba ser un entero. Cuando se detecta una violación de lista blanca, la solicitud cambia a la vista ProhibCharEncodingErrorView. La validación de datos de lista blanca está inhabilitada de forma predeterminada.
- Habilitar la protección contra la falsificación de petición Cross-Site en Struts
La falsificación de petición Cross-Site (CSRF) es un tipo de intrusión malintencionada que engaña al usuario para que envíe peticiones no intencionadas. Por ejemplo, un intruso puede engañar a un usuario autenticado para que Pulse un enlace y actualice su información personal. HCL Commerce acepta esta solicitud como válida, ya que existen cookies de sesión adecuadas como parte de la solicitud.
- Habilitación de la protección contra la falsificación de peticiones entre sitios en REST
Se recomienda habilitar la protección de falsificación de solicitudes entre sitios (CSRF) al utilizar API de REST con cookies para la autenticación. Si la API de REST usa los tokens WCToken o WCTrustedToken para la autenticación, no se requiere protección CSRF adicional.
- Habilitación del filtro de redirección de URL
Cuando habilita el filtrado de redirección de URL, HCL Commerce rechaza las solicitudes que intentan redirigir a un sitio no autorizado. Esta característica se utiliza para evitar los ataques de suplantación en los que un enlace que se encuentre en el sitio HCL Commerce envía al comprador a otro sitio.
- Habilitación del registro de accesos
Cuando está habilitada, la característica de registro de accesos anota cronológicamente todas las solicitudes de entrada realizadas a Transaction server o sólo las solicitudes que producen violaciones de acceso. Una anomalía de autenticación o una autorización insuficiente para ejecutar un mandato son ejemplos de violaciones de acceso. Cuando se ha habilitado, el registro de accesos permite que un administrador de HCL Commerce identifique rápidamente las amenazas de seguridad en el sistema HCL Commerce.
- Habilitación de SSL para servicios web de salida
Puede habilitar SSL para servicios web utilizando la consola de administración de WebSphere Application Server para el desarrollo y la realización de pruebas, y utilizando mandatos Run Engine para cambios de configuración permanentes.
- Cifrado de datos en código personalizado utilizando EncryptionFactory
EncryptionFactory es una clase de fábrica que inicializa todas las clases de proveedor de cifrado que se utilizan en tiempo de ejecución para cifrar y descifrar datos. Todos los proveedores de cifrado deben implementar la interfaz com.ibm.commerce.foundation.common.util.encryption.EncryptionProvider.
- Consideraciones sobre la seguridad del servidor web
Tenga en cuenta las siguientes consideraciones de seguridad para el servidor web y tome las acciones recomendadas para minimizar cualquier riesgo de seguridad.
Configuración de políticas relacionadas con cuentasPara mejorar la seguridad del sitio, asegúrese de que conoce todas las políticas relacionadas con cuentas más actualizadas.
- Habilitar mandatos habilitados por contraseña
Cuando la característica de mandatos protegidos por contraseña está habilitada, HCL Commerce necesita que los usuarios registrados que están conectados a HCL Commerce entren la contraseña antes de continuar una solicitud que ejecuta mandatos de HCL Commerce designados. Al configurar mandatos protegidos por contraseña, tenga en cuenta las consecuencias de la especificación de un mandato que puede ser ejecutado por usuarios genéricos e invitados. Si los mandatos de este tipo se configuran como protegidos por contraseña, se impedirá que los clientes genéricos e invitados los ejecuten.
- Configuración Restablecer contraseña para utilizar códigos de validación largos.
Cuando un usuario registrado solicite el restablecimiento de una contraseña olvidada, puede configurar el URL de restablecimiento de contraseña para enviar un código de validación generado aleatoriamente en lugar de una contraseña temporal. Por defecto, este código puede tener hasta 100 caracteres.
- Configuración Restablecer contraseña para utilizar códigos de validación cortos.
Cuando un cliente solicita un cambio de contraseña, puede configurar la función Restablecer contraseña para enviarles por correo electrónico un breve código de validación numérico. Antes de Versión 9.1.7.0, el código de validación era largo, hasta 100 caracteres. Todavía se puede utilizar el código de validación de código largo, sin embargo, este método está obsoleto y se dejará de utilizar en una futura versión.
- Impedir que usuarios privilegiados se registren externamente
El archivo wc-server.xml incluye una cabecera de servidor web personalizable. Puede editar esta cabecera para controlar si los usuarios privilegiados pueden iniciar la sesión en la tienda desde redes externas. Esta infraestructura reduce la posibilidad de un ataque externo si una cuenta con el acceso a nivel administrativo, como un representante del serivico al cliente o administrador del sitio se ve comprometida.