RHCk

инструкция
Руководство для перехода на SSL (HTTPS)

177 сообщений в этой теме

Доброго всем дня!

Спасибо за руководство!

Если магазин свежий, то достаточно ли установить сертификат на сайт, заменить адреса в конфиге и включить в настройках HTTPS?

Или следует делать всю инструкцию?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах
9 минут назад, vSHADOWv сказал:

Доброго всем дня!

Спасибо за руководство!

Если магазин свежий, то достаточно ли установить сертификат на сайт, заменить адреса в конфиге и включить в настройках HTTPS?

Или следует делать всю инструкцию?

Сделать редирект

И следить за модулями, чтобы те не выдавали http ссылки

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!


Зарегистрировать аккаунт

Войти

Уже зарегистрированы? Войдите здесь.


Войти сейчас

  • Похожие публикации

    • Автор: Yoda
      Просмотреть файл HTTPS Fix для Opencart v2.X
      Небольшой мод, который заставляет Opencart работать корректно с обоими протоколами одновременно.
      Как того требует Яндекс какое то время, при переезде на HTTPS. Для правильной работы фикса у вас должны отличаться HTTP_CATALOG и HTTPS_CATALOG  в config.php.

      Также мод фиксит проблемы определения протокола, при нестандартных настройках связки nginx => apache.
       
      Кроме вашего покорного слуги решению приложили руки @markimax и @savage4pro.
       
      Если кто захочет заслать благодарности - куда слать у них в профилях.
      Автор Yoda Добавлен 24.10.2016 Категория Прочее  
    • Автор: Aleks
      Добрый день!
      Попутно с переездом домена решил сразу настроить SSL на новом домене, чтобы 2 раза не кормить новое зеркало поисковикам.
      Инструкцию по переезду на https для версии 1.5 использовал с yoda блога. http://ocshop.info/kostyli-dlya-normalnogo-pereezda-na-https-pod-opencart-1-5-x-dlya-togo-chtoby-ne-vypast-iz-indeksa-yandex/.

      Все сделал, перепроверил не один раз. Кеши чистил и руками и модулями, браузеры чистил, проблема следующего рода осталась:
       
      Mixed Content: The page at 'https://mysite.ru/' was loaded over HTTPS, but requested an insecure stylesheet 'http://mysite.ru/image/seocms.css'. This request has been blocked; the content must be served over HTTPS. 
       
      response.hph выглядит следующим образом
       
       
      Может есть у кого нибудь решение? Может не правильно что-то поправил?
      Подскажите, пожалуйста!
       
    • Автор: RHCk
      Тема создана для описания основ безопасности CMS Opencart.
      Если что-то упустил, пишите.
       
      0. ВАЖНО! Перед началом любых экспериментов делаем бэкап файлов и базы сайта!!!
      1. Установка
      1.1 При установке меняем префикс базы данных на другой - например "ос_" на "sn_" (и помним об этом).
      1.2 Логин для админки НЕ должен быть admin! Пароль админки должен быть сложным, который содержит как минимум заглавные, строчные символы и цифры. Для этого пользуем генераторы паролей (они есть практически в любом менеджере паролей, также бывают отдельными программами). Онлайн генераторы от @savage4pro - тут и здесь.
      1.3 После установки или обновления CMS обязательно удаляем каталог install.
      1.4 Очень часто взлом и заражение ИМ происходит через соседей (устаревшие или не обновленные CMS в одном аккаунте с ИМ). Важно помнить - в одном аккаунте один магазин.
       
      2. Настройка CMS
      2.1 После установки отключаем вывод ошибок на "морду" магазина (Система -> Настройки -> Редактировать -> Вкладка Сервер -> Раздел Безопасность -> Ключ шифрования -> С помощью генераторов из п-та 1.2 генерируем новый (длина 1024).
      2.2 Там же отключаем вывод ошибок на "морду" магазина (Система -> Настройки -> Редактировать -> Вкладка Сервер -> Раздел Обработка ошибок -> Показывать ошибки -> НЕТ). Включать вывод ошибок нужно по необходимости - установка нового модуля, изменение функционала и т.д. (помним про п-кт 0).
      2.3 Часто, перед покупкой или установкой модулей, разработчики предлагают проверить соответствие вашего хостинга требованиям модуля. В корневой каталог сайта копируется info.php, заходим по адресу <сайт>/info.php видим инфу, определяемся с модулем и удаляем файл info.php, дабы не оставлять подсказку разным негодяям.
      2.4 Пользователям, на сайтах которых настроен обмен, следует проверить недоступность снаружи следующих адресов:
      domain.com/system/storage/cache/exchange1c/import.xml domain.com/system/storage/cache/exchange1c/offers.xml domain.com/system/storage/cache/exchange1c/orders.xml 2.5 ВАЖНО! Присутствующие на сайте тяжелые скрипты (если имеются), такие как парсеры, генераторы карт и прайс-листов, и т.д., не должны быть доступны всем подряд извне.
       
      3. Настройка хостинга
      3.1 Средствами .htaccess можно ограничить доступ в админку вводом дополнительных логина и пароля (.htpasswd) и возможностью входа только с определенного IP-адреса. Перед этим важно не забыть получить статический IP-адрес у своего интернет-провайдера. Если будет интерес, можно сделать подробное описание этого метода.
      Видел модуль, добавляющий капчу от Гоши в форму авторизации админки. Штука полезная, ибо усложняет процесс сбручивания пароля разными кулхацкерами.
      3.2 При установке CMS, добавлении функционала, установке модулей (предоставления доступа к файлам CMS разработчикам модулей и т.д.) требуется доступ к хостингу по FTP (SFTP). Для таких случаев создаем отдельные учётные записи на хостинге, с доступом только к необходимым ресурсам. Требования к учётной записи те же, что и в пункте 1.2.
      ВАЖНО! После проведения работ обязательно отключаем доступ по FTP. Об этом забывают 90% будущих Рокфеллеров.
      3.3 В .htaccess должен присутствовать запрет на чтение файлов/каталогов(папок) с "." (точкой) в начале имени:
      RedirectMatch 403 /\..*$  
      4. Периодические мероприятия
      4.1 ВАЖНО! Необходимо регулярно делать бэкапы. Чем чаще делаются бэкапы, тем меньши информации будет потеряно в случае форс-мажора. Есть шутка "Админы делятся на две группы - на тех, кто не делает бэкапы и тех, кто уже делает".
      Бэкап файлов делаем с помощью FileZilla (или архивируем хостингом, а забираем ей же). Бэкап базы делаем с помощью Sypex Dumper 2.
      4.2 ВАЖНО! Категорически нельзя складывать бэкапы в каталог (папку) сайта! Поэтому все бэкапы (архивы бэкапов) забираем с хостинга. Место для хранения бэкапов подбирается из расчета хранения 10 архивов: 1 ежемесячный, 3 еженедельных, 6 ежедневных.
      4.3 ВАЖНО! Регулярно меняйте пароли (не реже раза в три месяца) ко всем учётным записям (админка, ftp и т.д.) и базам данных! Пароль к базе данных хранится в двух файлах config.php (из корня и в папке admin) в следующей записи:
      define('DB_PASSWORD', '7EJCE9vIAEfGExueZ3vn'); где 7EJCE9vIAEfGExueZ3vn - есть пароль. 4.4 ВАЖНО! Регулярно проверяем кроневой каталог и папки cache и download на предмет посторонних файлов. Особое внимание уделяем файлам, в которых присутствуют закодированные base64 элементы.
      В коренвом каталоге сайта должны быть только следующие файлы:
       
      В планах:
       
      P.S. Данная инструкция была написана при поддержке @savage4pro и @Yoda.
      P.P.S. #opencartsecurity #безопасностьвопенкарт #хуйнаныр
    • Автор: Jarama
      Здравствуйте, господа!
       
      Кто может помочь переехать маленькому магазинчику на ocstore 2.1.0.1 на https? 
      Можно в скайп писать: max_nexus
    • Автор: Yoda
      Небольшой мод, который заставляет Opencart работать корректно с обоими протоколами одновременно.
      Как того требует Яндекс какое то время, при переезде на HTTPS. Для правильной работы фикса у вас должны отличаться HTTP_CATALOG и HTTPS_CATALOG  в config.php.

      Также мод фиксит проблемы определения протокола, при нестандартных настройках связки nginx => apache.
       
      Кроме вашего покорного слуги решению приложили руки @markimax и @savage4pro.
       
      Если кто захочет заслать благодарности - куда слать у них в профилях.
  • Сейчас на странице   0 пользователей

    Нет пользователей, просматривающих эту страницу