Module von Drittanbietern: So prüfen Sie vor der Installation, ob ein Modul sicher ist

Die meisten schweren Schwachstellen in PrestaShop-Shops liegen nicht im Core, sondern in Modulen. Es geht nicht darum, keines zu installieren, sondern gut auszuwählen.

Vor dem Kauf oder Download

• Herkunft: PrestaShop Addons oder die Website des Entwicklers. Niemals „kostenlose“ Versionen kostenpflichtiger Module: Die kommen meist mit Geschenk.
• Updates: Wann war das letzte? Unterstützt es Ihre PrestaShop- und PHP-Version?
• Support: Antwortet der Entwickler? Gibt es ein Änderungsprotokoll?

Beim Prüfen des Pakets

• Overrides: Wie viele installiert es? Jeder ist eine Quelle künftiger Konflikte.
• Öffentliche Einstiegspunkte: Lose, von außen erreichbare PHP-Dateien (ajax.php, cron.php, export.php) ohne Token-Prüfung sind die häufigste Schwachstelle.
• SQL-Abfragen mit nicht escapten Variablen (pSQL(), (int)).
• Verschleierter Code: Ein Modul, das seinen Code versteckt, lässt Sie nicht wissen, was es tut.
• Aufrufe externer Server: Welche Daten sendet es und wohin?

Nach der Installation

• Testen Sie es zuerst auf einer Kopie des Shops.
• Prüfen Sie, welche Hooks es registriert und auf welchen Seiten es wirkt.
• Wird es nicht mehr genutzt, deinstallieren Sie es und löschen Sie seinen Ordner.