- Activation de l'invalidation du mot de passe
Lorsqu'elle est activée, cette fonction demande aux utilisateurs de HCL Commerce de changer leur mot de passe si celui-ci a expiré. Dans ce cas, l'utilisateur est redirigé vers la page de modification de mot de passe. Les utilisateurs ne peuvent accéder à aucune page sécurisée du site tant qu'ils n'ont pas changé leur mot de passe.
- Chiffrement des données
Cette section contient des informations sur les étapes importantes impliquées lors de l'implémentation de la sécurité de votre site. Il existe différentes options de chiffrement disponibles, y compris des informations sur Key Locator Framework (KLF), où vous chiffrez vos données, comment modifier vos clés de chiffrement de session et comment développer un code personnalisé à l'aide d'EncryptionFactory.
- Application de TLS version 1.2
Nécessite l'utilisation de la dernière version du protocole de sécurité TLS pour la communication sur votre site. Ce processus garantit que toute faiblesse dans les versions précédentes, ou les protocoles plus anciens et moins sûrs, ne peut pas être utilisée par des parties malveillantes pour obtenir des données sensibles.
- Activation de la sécurité avec les en-têtes HTTP
Vous pouvez utiliser des en-têtes HTTP pour transmettre des informations orientées sécurité entre le serveur et le client. Les en-têtes sont disponibles pour empêcher les attaques de type homme du milieu, par script intersite, de reniflage de contenu et par détournement de clic.
- Activation de la protection des scripts intersite
Lorsqu'elle est activée, cette fonction rejette toutes les demandes de l'utilisateur contenant des attributs (paramètres) ou des chaînes déclarés comme non admissibles. Vous pouvez également exclure des instructions de la fonction de protection des scripts intersite en autorisant les valeurs des attributs spécifiés pour une instruction donnée à contenir des chaînes non admises. La protection des scripts intersite est désactivée par défaut.
- Activation de la falsification de requêtes intersite dans Spring
La falsification de requête intersite est un type d'attaque malveillante qui amène l'utilisateur à envoyer des requêtes non intentionnelles. Par exemple, un agresseur informatique peut amener un utilisateur authentifié à cliquer sur un lien pour mettre à jour ses informations personnelles. HCL Commerce accepte cette requête comme étant valide, dans la mesure où des cookies de session appropriés existent dans le cadre de la requête.
- Désactivation de la protection des scripts intersite pour le Centre de gestion
Lorsqu'elle est activée, cette fonction rejette toutes les demandes de l'utilisateur contenant des attributs (paramètres) ou des chaînes déclarés comme non admissibles. Vous pouvez également exclure des instructions de la fonction de protection des scripts intersite en autorisant les valeurs des attributs spécifiés pour une instruction donnée à contenir des chaînes non admises. La protection des scripts intersite est activée par défaut, mais vous pouvez la désactiver en fonction de vos exigences en matière de sécurité.
- Activation de la validation de données en liste blanche
Lorsqu'elle est activée, la validation de données en liste blanche permet de faire en sorte que lors de l'exécution d'une commande ou vue URL, les valeurs de paramètre sont conformes à une expression régulière spécifiée. Par exemple, vous pouvez la configurer de façon à ce que storeId soit obligatoirement un entier. Lorsqu'une violation de liste blanche est détectée, la demande est modifiée afin d'être transmise à la vue ProhibCharEncodingErrorView. La validation de données en liste blanche est désactivée par défaut.
- Activation de la protection de contrefaçon de demande intersites en code Struts
La falsification de requête intersite est un type d'attaque malveillante qui amène l'utilisateur à envoyer des requêtes non intentionnelles. Par exemple, un agresseur informatique peut amener un utilisateur authentifié à cliquer sur un lien pour mettre à jour ses informations personnelles. HCL Commerce accepte cette requête comme étant valide, dans la mesure où des cookies de session appropriés existent dans le cadre de la requête.
- Activation de la protection de falsification de requêtes intersite dans REST
L'activation de la protection contre la falsification de requête intersites (CSRF) est recommandée lors de l'utilisation d'API REST avec des cookies pour l'authentification. Si votre API REST utilise les jetons WCToken ou WCTrustedToken pour l'authentification, une protection CSRF supplémentaire n'est pas nécessaire.
- Activation du filtrage de réacheminement d'URL
Lorsque vous activez le filtrage de redirection d'URL, HCL Commerce rejette les demandes qui tentent d'effectuer une redirection vers un site non autorisé. Cette fonction permet d'empêcher les attaques d'hameçonnage au cours desquelles un lien présent sur un site HCL Commerce envoie le client vers un autre site.
- Activation de la journalisation des accès
Lorsqu'elle est activée, la fonction de journalisation des accès consigne soit toutes les demandes entrantes dans le Transaction server, soit uniquement les demandes qui entraînent des violations d'accès. par exemple, l'échec d'une authentification, des droits insuffisants pour exécuter une commande. Lorsque cette fonction est active, l'administrateur HCL Commerce peut rapidement identifier les risques pour la sécurité du système HCL Commerce.
- Activation de la couche SSL pour les services Web sortants
Vous pouvez activer SSL pour les services Web en utilisant la console d'administration WebSphere Application Server pour le développement et le test, et à l'aide des commandes Run Engine pour les modifications de configuration permanentes.
- Chiffrement des données en code personnalisé avec EncryptionFactory
EncryptionFactory est une classe de fabrique qui initialise l'ensemble des classes du fournisseur de chiffrement qui sont utilisées au moment de l'exécution pour chiffrer et déchiffrer les données. Tous les fournisseurs de chiffrement doivent implémenter l'interface com.ibm.commerce.foundation.common.util.encryption.EncryptionProvider.
- Considérations sur la sécurité du serveur Web
Soyez attentif aux considérations de sécurité suivantes pour votre serveur Web et prenez les mesures recommandées pour minimiser toute exposition de sécurité.
Mise en place de stratégies liées aux comptesAfin de renforcer la sécurité de votre site, assurez-vous que vous êtes au courant et à jour de toutes les stratégies liées aux comptes.
- Activation d'instructions protégées par mot de passe
Lorsque cette fonction est activée, HCL Commerce demande aux utilisateurs enregistrés connectés à HCL Commerce d'entrer leur mot de passe avant de poursuivre une demande qui utilise des instructions précises de HCL Commerce. Lorsque vous configurez des instructions protégées par mot de passe, soyez conscients des conséquences inhérentes à la spécification d'une instruction exécutable par des utilisateurs génériques ou invités. La protection de ces instructions par mot de passe empêche les utilisateurs génériques et les visiteurs de les exécuter.
- Configuration de Réinitialiser le mot de passe pour utiliser des codes de validation longs
Lorsqu'un utilisateur enregistré demande la réinitialisation d'un mot de passe oublié, vous pouvez configurer l'URL de mot de passe de réinitialisation pour envoyer un code de validation généré au hasard au lieu d'un mot de passe temporaire. Par défaut, ce code peut faire jusqu'à 100 caractères.
- Configuration de Réinitialiser le mot de passe pour utiliser des codes de validation courts
Lorsqu'un client demande une modification de mot de passe, vous pouvez configurer la fonction Réinitialiser le mot de passe pour lui envoyer un code de validation numérique court. Avant la version 9.1.7.0, le code de validation était long, jusqu'à 100 caractères. Vous pouvez toujours utiliser le code de validation de code long, mais cette approche est obsolète et sera abandonnée dans une édition ultérieure.
- Empêcher les utilisateurs privilégiés de se connecter en externe
Le fichier wc-server.xml inclut un en-tête de serveur Web personnalisable. Vous pouvez modifier cet en-tête pour contrôler si les utilisateurs privilégiés peuvent se connecter au magasin à partir de réseaux externes. Cette infrastructure réduit la possibilité d'une attaque externe si un compte avec un accès de niveau administratif, comme un représentant du service à la clientèle ou un administrateur du site, est compromis.