Weiter mit PrestaShop 1.6 oder 1.7: welche Risiken das birgt und wie Sie sie bewerten

»Never touch a running system« ist für fast alles ein guter Rat, nur nicht für Software, die im Internet erreichbar ist und Kartenzahlungen annimmt. Ein Shop mit PrestaShop 1.6 oder 1.7 kann jeden Tag ohne einen einzigen sichtbaren Fehler verkaufen und gleichzeitig Risiken ansammeln, die erst auffallen, wenn es knallt.

Es geht nicht darum, Angst zu machen. Es geht darum zu verstehen, was es bedeutet, ohne Support zu sein, damit die Entscheidung, zu bleiben oder zu migrieren, Ihre eigene ist und auf Fakten beruht.

Was »ohne Support« in der Praxis bedeutet

Der Core erhält keine Patches mehr

Der 1.6-Zweig endete mit 1.6.1.24, der 1.7-Zweig mit 1.7.8.11. Wird eine neue Schwachstelle im Core entdeckt, erscheint die Korrektur für die gepflegten Zweige. Für Ihren schreibt im besten Fall jemand einen inoffiziellen Patch, im schlimmsten gibt es nichts.

Und selbst wenn Sie auf 1.7 sind: auf welcher 1.7? Viele Shops laufen noch auf einer 1.7.6 oder 1.7.7 ohne die späteren Korrekturen desselben Zweigs, zu denen auch Sicherheitsfixes gehörten.

Die Module bleiben zurück

Modulentwickler konzentrieren ihre Arbeit auf die aktuellen Versionen. Mit der Zeit passiert Folgendes:

• Neue Modulversionen sind nicht mehr mit Ihrem Shop kompatibel.
• Wird eine Sicherheitslücke in einem Modul veröffentlicht, setzt die korrigierte Version ein neueres PrestaShop voraus.
• Manche Autoren geben ihre Module auf, und niemand prüft sie mehr.
• Zahlungsanbieter ändern ihre APIs und Anforderungen, und alte Module funktionieren nicht mehr oder verlieren Funktionen.

Das ist in der Praxis das größte Risiko. Massenkampagnen gegen PrestaShop nutzen meist Schwachstellen in Modulen, und ein Shop, der die korrigierte Version nicht installieren kann, bleibt auf unbestimmte Zeit angreifbar.

PHP ohne Support

PrestaShop 1.7.8 reicht höchstens bis PHP 7.4, ältere Versionen noch weniger weit. PHP 7.4 erhält seit Jahren keine Sicherheitspatches mehr. Das heißt, die Sprache, auf der Ihr Shop läuft, hat bekannte Lücken, die nicht mehr behoben werden.

Außerdem entfernen Hoster alte PHP-Versionen von ihren Servern. Irgendwann kündigt der Anbieter an, die Version anzuheben, oder hebt sie direkt an, und der Shop funktioniert nicht mehr. Deshalb unter Zeitdruck zu migrieren ist die schlechteste Art zu migrieren.

Wie Sie Ihr Risiko bewerten

Nicht jeder alte Shop hat dasselbe Risiko. Diese Fragen helfen bei der Einordnung:

Ein Shop mit hohem Umsatz, vielen Drittanbieter-Modulen und ohne Überwachung hat am meisten zu verlieren und wird am ehesten erfolgreich angegriffen.

Was Sie in der Zwischenzeit tun können

Wenn die Migration nicht sofort möglich ist, gibt es Maßnahmen, die das Risiko senken:

• Aktualisieren Sie auf die letzte Version Ihres Zweigs: 1.7.8.11, wenn Sie auf 1.7 sind. Das ist viel weniger Aufwand als eine Migration und schließt bekannte Lücken.
• Heben Sie PHP auf die höchste Version an, die Ihr PrestaShop unterstützt, nach einem Test in einer Kopie.
• Erfassen Sie Ihre Module und entfernen Sie die ungenutzten, einschließlich der Ordner deinstallierter Module.
• Aktualisieren Sie Module, für die es eine kompatible Version gibt, vor allem solche mit öffentlichen Controllern.
• Sperren Sie die direkte PHP-Ausführung in modules/ und in den Datenordnern.
• Aktivieren Sie die Überwachung von Dateien, Mitarbeitern und Zahlungskonfiguration, damit Sie früh merken, wenn etwas passiert.
• Tägliche Backups, außerhalb des Servers und getestet.

All das verschafft Zeit. Es macht aus einem Shop ohne Support keinen mit Support. Und je länger es dauert, desto teurer wird der Ausstieg: Mit jedem Jahr wächst der Abstand zwischen Ihrer Version und der aktuellen, es gibt mehr Module ohne direkten Ersatz und mehr Daten zu übertragen. Die einfachsten Migrationen, die wir machen, sind die von Shops, die den Sprung gewagt haben, als sie den Zeitpunkt noch wählen konnten, nicht die von Shops, die gewartet haben, bis etwas nicht mehr funktionierte.

Wie Sie den Ausstieg planen

1. Legen Sie das Ziel fest. Heute ist es sinnvoll, direkt auf PrestaShop 9 zu springen, ohne Zwischenstopp bei 8, es sei denn, ein unverzichtbares Modul gibt es für 9 noch nicht.
2. Erfassen Sie Funktionen, nicht Module. Listen Sie auf, was der Shop leistet (Rechnungsstellung, Versand, ERP, Zahlungen, SEO), und notieren Sie für jeden Punkt, welches Modul das heute löst und welches es in 9 tun wird. Oft ist ein guter Teil überflüssig.
3. Kalkulieren Sie den Aufwand für das Theme. Ein 1.6-Theme funktioniert in 9 nicht, und eines für 1.7 selten unverändert. Bei vielen Migrationen ist das der größte Posten.
4. Wählen Sie den Zeitpunkt. Meiden Sie die starken Verkaufsphasen Ihrer Branche. Eine gut geplante Migration braucht Wochen an Tests, nicht Tage.
5. Machen Sie einen vollständigen Probelauf in einer Kopie vor dem Umstellungstag.

Der Vorteil frühzeitiger Planung: Sie bestimmen den Zeitplan. Wenn Sie warten, bis der Hoster PHP 7.4 abschaltet oder ein Vorfall eintritt, bestimmt ihn jemand anderes.

So lösen Sie es in PrestaShop

Bei Rekire arbeiten wir täglich mit Shops auf 1.6, 1.7, 8 und 9, und mit den Support-Stundenpaketen erledigen wir genau diese Arbeit: ein Audit von Version, PHP und Modulen Ihres Shops mit Risikobewertung, die Aktualisierung auf die letzte Version Ihres Zweigs, wenn Sie Zeit gewinnen wollen, und den Migrationsplan auf PrestaShop 9 mit Funktionsinventar, Ersatzmodulen und Theme-Aufwand. Die Stunden werden nach tatsächlichem Aufwand verbraucht, und Sie können mit dem Audit beginnen und danach entscheiden.