加强电子商务网站网络安全的10个建议

Posted 2020-12-09 racent-z

对于卖家来说，使用电子商务网站进行线上交易有很多好处：比如，用较低的营销成本可以获得更多用户的广泛关注，还可以节省如门面房屋租金，水电气费等，也不需要储备大量的货品。总之一句话，线上商店可以用最少的预算开启您的业务。

对于买家来说，他们也喜欢窝在舒服的沙发上，动动手指头就可以浏览购买数以百万计的产品。据Statista报告称，2021年电子商务销售额预计将达到4.5万亿美元。但是，当全世界都喜欢某种东西时，它也会引起其他不必要的关注。根据网络安全公司的年度网络犯罪报告(ACR)显示，到2021年网络犯罪造成的损失估计将达到每年6万亿美元。

 

虽然电子商务行业的网络犯罪问题很多，大家不愿多谈，但现在是时候该好好了解一下啦，因为不论线上商店的规模多大，保护您的网站免受网络攻击对任何电子商务企业的生存都至关重要。

在本文中，我们将给出10个关于加强电子商务网站安全的建议：

1.     选择合适的虚拟主机服务

当预算比较紧的时候，您可能更多的选择便宜的主机服务，以为所有的托管站点的服务都是一样的。但是实际并非如此。诸如网站安全性、运行速度、搜索引擎优化和网站流量处理能力等因素在很大程度上取决于您的托管环境。

当您选择虚拟主机服务时，一定要调查他们采取了什么安全措施来保护客户的网站。他们是否提供最新的服务器软件，是否有分布式拒绝服务(DDoS)攻击保护，黑客保护，自动备份，每日恶意软件扫描，垃圾邮件保护，和电子邮件保护?

另外，一些虚拟主机商还会提供额外的安全保护功能以提升其主机服务。所以选择合适的虚拟主机服务时，需要多方面考虑这些安全因素。

2.     不断更新您的软件

软件未及时更新是导致安全漏洞最常见原因之一。幸好有一个简单的解决方法，那就是更新您的软件。

如果您的电子商务网站使用的WordPress，请更新所有的组件，如WordPress软件，插件，主题等，只要更新就可用了。如果不是使用的WordPress站点，您依然需要关注以更新。无论它是web服务器还是Java、Python、Perl、WordPress和Joomla等第三方——只要发布了新版本，都应立即更新在系统上。

因为软件开发团队经常会先修复老版本的漏洞后再发布新版本。如果不升级，黑客很容易利用老版本的安全漏洞进行网络攻击。

3.     配置安装Web防火墙

正确配置防火墙是对网站进行安全保护的一个重要的措施，它可以为您提供强大的防御功能，以抵御分布式拒绝服务（DDoS），SQL注入和跨站点请求伪造等攻击。防火墙可持续监控任何可疑流量或请求，并在它们到达网站之前进行拦截。最重要的是，配置网站防火墙对小型企业来说花费不大。

4.     强制使用强密码

大多数电子商务网站都会让其用户创建一个帐户来完成交易。如果买家在您的网站注册一个账户，并使用弱密码，则他的帐户很容易成为网络攻击的目标。

拥有简单密码的账户很容易被黑客入侵攻击，也会使您的网站容易受到攻击。这就是为什么您应该要求用户使用强密码。如果您的网站使用WordPress，则可以使用“强制强密码”之类的插件来强制使用强密码。如果不是WordPress的网站，那么请让开发人员在代码中设置条件：在最少字符数中需包含大写字母，小写字母，数字和特殊字符的情况下方能接受密码。 

另外，人们习惯将相同的密码用于多个账户。因此，如果黑客破解了您客户的密码，那么他们也可以用这个密码的账户访问其他网站。

5.     使用双重身份验证

大多数金融机构在用户进行交易时启用双重身份验证。用户必须使用另外一个附加的安全保护层与传统密码一起进行交易。目前最流行的两种验证方法是向用户的手机发送验证码或动态口令（OTP）。然后，用户需要提供此验证码，才能进一步进行交易。

您也可以在线上商店上使用双重身份验证。如果您使用的是WordPress网站，则可以使用Google Authenticator插件启用双重身份验证（2FA）。

6.     获取PCI认证

获得支付卡行业数据安全标准（PCI DSS）的认证对于接受信用卡/借记卡付款的企业（无论其规模大小）都至关重要。PCI自我评估调查问卷（SAQ）指南列出了要获得PCI认证必须满足的各种要求，得到认证后可以帮助您识别付款交易中的漏洞。

所以有必要更改付款的安全性以符合其标准，再使用Comodo HackerGuardian之类的工具对其进行PCI合规性扫描。获得报告后，将SAQ，扫描报告和其他必需文件提交给您的银行。如果一切都满足其要求，那么您的公司将符合PCI DSS认证。

7.     安装SSL证书

安装SSL证书是获取PCI认证的重要组成部分。Sectigo SSL证书可实现以下目的：

• OV 和EV SSL证书要求验证网站所有者的身份。此步骤有助于防止用户成为网络钓鱼攻击的受害者。
• 加密用户浏览器和网站服务器之间的连接。
• 启用HTTPS协议并在地址栏中的域名前面显示一个安全挂锁。

 

• 删除浏览器中域名之前的“不安全”警告。

• 提高您的网站在搜索引擎结果中的排名。
• 提供在不太可能发生的加密失败情况下与保险类似的一个保障。

锐成信息除了可提供Sectigo SSL证书外，还有其他全球知名品牌证书，如Digicert, Geotrust, Positive等品牌的SSL证书。

8.     不要存储客户的敏感信息

   一些电子商务网站希望尽可能多收集到客户信息，以便分析消费者的行为从而做出有效的营销方案。一些线上商店还让客户将其信用卡/借记卡号，CVV密码和其他相关数据保存到其帐户中，以在交易结帐过程中提供一个很好的用户体验。

  尽管用户是方便了，但是将敏感的客户数据保存在您服务器上的风险很高。如果黑客破解了您的系统并获得了访问用户信息的权限，那么您的公司可能必须为数据泄露支付巨额罚款。只有拥有内部网络安全团队并不断致力于网站安全保护的大型电子商务公司才能承担此类风险。对于小型或新的电子商务站点，数据泄漏的风险大于存储客户数据的好处。

  还好有一个简单的解决方案——使用第三方在线支付（如PayPal，支付宝，微信等）以降低付款风险，这些程序可以在不将详细信息保存到服务器的情况下启用保存付款详细信息。

9.     定期备份数据

无论您的网站有多安全，您都需要制定一个有效且经过测试的容灾备份计划（DRP）。一方面您需要确保虚拟主机自动执行数据备份，另一方面，您还需要在自己的终端上执行定期备份。

不仅仅有黑客事件，还有网络病毒，人为错误，系统故障或自然灾害等诸多原因都有可能导致数据泄露或丢失。因此，请定期在不同的存储器备份您的数据。

CodeGuard每天自动备份您的网站，并将数据加密保存在AWS服务器上。如果有任何问题，您将始终拥有自己的网站副本，以备不时之需！

10.  加强员工数据安全意识培训

首先，需加强对电子商务从业人员进行数据安全方面的培训，例如不要在聊天或电子邮件中共享客户的敏感数据。其次，提高应对安全问题的能力，例如如何避免网络钓鱼攻击。提高相关从业人员的安全意识也是有效降低网络安全风险的一个重要途径。

当然，以上建议只是安全建站的基本方法，可以避免许多普遍的网络攻击。仅仅靠这10条网络安全建议还远远不够，如果您想要电子商务网站继续强大、安全，您还需要每天不断更新安全技术。

本文转载于https://www.racent.com/blog/10-security-tips-for-ecommerce-website