Sécurité de PEEL SHOPPING
Concernant la sécurité de PEEL SHOPPING :
- Une attention particulière a été portée à la sécurisation de notre hébergement : PHP en CGI, usage de suhosin, protection contre les autres CGI, sécurisation du dossier /tmp sur partition virtuelle, firewall CSF + LDF, double anti-rootkits rkhunter et chkrootkit, et monitoring détaillé du serveur.
- Le logiciel ecommerce PEEL SHOPPING a plusieurs protections :
. filtrage récursif des données arrivant sur le serveur '_POST', '_GET', '_COOKIE', '_REQUEST'
. fonctionnement intégral en UTF8 avec utilisation de fonctions multibytes pour la manipulation des chaines afin d'éviter des overflows sur injections de caractères multibytes imprévus
. pour éviter des injections SQL, les données sont converties dans le format attendu et protégées dans les règles de l'art avec mysql_real_escape_string quand il ne s'agit pas de nombres
. les injections XSS font l'objet d'une protection au niveau des formulaires de l'administration par l'usage de token liés à l'utilisateur, au referer de la page et à l'usage limité dans le temps
. les téléchargements sont sécurisés afin d'empêcher le téléchargement de fichiers PHP sur le serveur par un utilisateur, et un deuxième volet de protection empêche l'exécution de fichiers PHP dans les répertoires d'images par .htaccess
. l'accès à l'administration par un utilisateur déclenche un email à tous les administrateurs avec mention de l'IP de connexion pour identifier si un compte est utilisé de manière anormale
. les confirmations de paiements par les banques font l'objet d'une vérification sécurisée de serveur à serveur afin d'empêcher qu'un client puisse faire croire à un paiement réel si ce n'est pas le cas.
. hash complexe des mots de passe s'appuyant notamment sur sha256, un salt et une découpe à longueur variable, via une fonction non standard afin d'éviter l'appel à des dictionnaires par des hackers en cas hypothétique de vol des hashs
. protection contre les vols de session si le site n'est pas en https et que l'utilisateur est en wifi non sécurisé ou victime de sniffage de réseau
. travail en chemin complets pour tous les fichiers plutôt qu'en chemins relatifs, pour les inclusions de fichiers comme pour les liens sur les pages générées
. limitation de l'usage de eval et preg/e (le e étant l'option d'exécution) pour éviter des failles permettant des exécutions de code
Pour toute question sur cet aspect de notre logiciel PEEL SHOPPING, n'hésitez pas à nous contacter au 01 75 43 67 97 ou via notre formulaire de contact.