OcBox Antihack — усі методи захисту OpenCart від атак в одному безкоштовному модулі (Community Edition, бета)

OcBox Antihack — усі методи захисту OpenCart від атак в одному безкоштовному модулі

Це безкоштовний модуль формату Community Edition. Ми зібрали в одному місці всі програмні засоби та методи захисту магазину OpenCart від атак — WAF, сканер вірусів і шелів, блокування IP, захист адмінки, моніторинг трафіку, інтеграцію з Cloudflare. Замість десятка розрізнених правил у .htaccess і платних підписок — один модуль, який ставиться за кілька хвилин.

Модуль зараз у стадії відкритої бети. Це означає: беріть, ставте, тестуйте на своєму магазині й надсилайте нам фідбек — усе, що знайдете, ми правитимемо у наступних версіях. Модуль не входить у платну збірку OcBox — це окремий безкоштовний подарунок спільноті. Качайте, користуйтесь, діліться враженнями.

Що ви отримуєте — детально

Нижче — усі рівні захисту, які модуль додає до вашого магазину. Кожен вмикається окремо, тому ви самі вирішуєте, наскільки жорстко закрутити гайки.

WAF — блокує атаки прямо на вході, до того як вони дійдуть до движка

✓ Фаєрвол веб-застосунку на кожен запит
Модуль перевіряє кожен вхідний запит на відомі патерни атак: SQL-ін’єкції, XSS (спроби впровадити <script>, iframe, svg-навантаження), обхід каталогів (../../etc/passwd), віддалене виконання коду (eval, system, shell_exec), ін’єкції команд оболонки. Підозрілий запит блокується ще до того, як OpenCart почне його обробляти.
⚠ Без цього: чистий OpenCart віддає будь-який запит одразу в контролер — одна необроблена вразливість у сторонньому модулі, і зловмисник уже виконує код на вашому сервері.

Автоблок IP — той, хто ломиться, сам себе замикає

✓ Тимчасове і постійне блокування IP-адрес
Після кількох спрацювань WAF або невдалих спроб входу IP автоматично потрапляє у бан — на заданий час або назавжди. Список заблокованих видно в адмінці, звідти ж будь-яку адресу можна розблокувати вручну. Час бану і поріг спрацювання налаштовуються.
⚠ Без цього: бот перебирає паролі й вразливості годинами з однієї адреси — і ніхто його не зупиняє.

Сканер вірусів і веб-шелів — знаходить те, що вже пролізло

✓ Пошук шкідливого коду у файлах магазину
Сканер проходить по файлах і шукає сигнатури відомих веб-шелів (c99, r57, b374k, WSO, FilesMan та інші), backdoor-код, обфускацію (base64_decode, gzinflate, str_rot13, hex-послідовності), eval від $_GET/$_POST, PHP, замаскований під картинку. Знайдене показується списком з рівнем небезпеки. Запускається вручну або щодня за розкладом.
⚠ Без цього: залитий шел місяцями сидить у папці й тихо зливає замовлення та бази — ви дізнаєтесь про це від хостингу або від клієнтів.

Захист адмінки — секретний токен у адресі входу

✓ Прихований вхід в адмінку за токеном
Адмінка відкривається лише за спеціальним посиланням з токеном — усі спроби зайти на стандартний /admin без нього відсікаються. Це закриває магазин від автоматичного перебору паролів, бо бот просто не бачить форму входу.
⚠ Без цього: адреса адмінки відома всім, і по ній цілодобово гатять словниками паролів.

Моніторинг трафіку — бачите сплеск, поки він не поклав сайт

✓ Лічильник запитів із нормою і статусом
Модуль рахує запити за хвилину й за годину, тримає «норму» (baseline) і показує статус трафіку. Аномальний сплеск (бот-навала, спроба DDoS) одразу видно на панелі, а не тоді, коли магазин уже ліг.
⚠ Без цього: перший сигнал про атаку — це «сайт не відкривається» від клієнта.

Білий список IP — свої проходять завжди

✓ Довірені адреси поза правилами
Ваш офіс, адреса розробника, IP платіжного шлюзу чи служби доставки — усе, що має проходити завжди, додається в білий список і ніколи не блокується, навіть якщо випадково зачепить правило.
⚠ Без цього: занадто жорсткий фаєрвол ризикує заблокувати вас самих або важливий сервіс.

Токени доступу — захист CRON та службових адрес

✓ Службові URL відкриваються лише за токеном
CRON-задачі, службові й адмінські маршрути захищаються токенами доступу — випадковий відвідувач чи бот не зможе смикнути важливий endpoint напряму.
⚠ Без цього: відкритий CRON-URL — це кнопка, яку може натиснути будь-хто.

Інтеграція з Cloudflare — бан на рівні мережі, а не тільки сайту

✓ Синхронізація блокувань з Cloudflare
Якщо магазин за Cloudflare, модуль допомагає налаштувати передачу реального IP (mod_remoteip) і працює з фаєрволом CF — атака відсікається ще на межі мережі, не доходячи до вашого сервера.
⚠ Без цього: за Cloudflare без правильного mod_remoteip ви бачите й баните один і той самий IP проксі замість справжнього зловмисника.

Редактор nginx / .htaccess — хардненґ без риття в конфігах вручну

✓ Готові правила зміцнення сервера
Модуль підказує й допомагає додати правила у .htaccess (Apache) чи конфіг nginx: заборона виконання PHP у папках завантажень, закриття службових файлів, mod_remoteip для Cloudflare. Кроки встановлення розписані прямо в інтерфейсі.
⚠ Без цього: папка image/ чи download/ із дозволеним PHP — класичний шлях для запуску залитого шела.

Журнал подій — кожна відбита атака зафіксована

✓ Лог усіх спрацювань захисту
Кожне блокування записується: IP, причина, тип атаки, рівень небезпеки, час. Видно, звідки й чим по вас б’ють, і можна оцінити, чи правильно налаштовані правила.
⚠ Без цього: ви не знаєте ні що вас атакували, ні як саме — поки не стало пізно.

CRON-автоматизація — захист працює сам

✓ Щоденне сканування, база трафіку, автоочищення
За розкладом модуль сам сканує файли на віруси (щодня), оновлює базу нормального трафіку (щогодини) та чистить старі записи. Один раз налаштували CRON — і захист живе своїм життям.
⚠ Без цього: разовий скан нічого не дає — шел заливають уже після того, як ви перевірили.

Що це означає простими словами

Раніше, щоб захистити OpenCart, треба було вручну збирати правила з десятка форумних тем, лізти в .htaccess, окремо ставити сканер, окремо думати про брутфорс і Cloudflare. OcBox Antihack збирає всі ці засоби в одну панель в адмінці: WAF, сканер, блокування, моніторинг, хардненґ — усе в одному місці, увімкнув галочками потрібне й забув.

Для кого цей модуль

Для будь-якого магазину на OpenCart чи ocStore, який хоч раз бачив у логах перебір паролів, спроби SQL-ін’єкцій або незрозумілі PHP-файли у папках. Особливо — для магазинів без окремого адміністратора безпеки, де захист має працювати «з коробки» й сам.

Сумісність

Модуль розрахований на третю гілку — OpenCart 3.0 та ocStore 3.0. Під OpenCart 2.x версії поки немає. Працює як на Apache (.htaccess), так і на nginx. Є інтеграція з Cloudflare.

Регламент видачі файлів модуля

Модуль безкоштовний і видається одразу після завантаження з цієї сторінки. Жодних ключів чи активації не потрібно — розпаковуєте, заливаєте upload/ у корінь магазину, оновлюєте модифікації в адмінці та вмикаєте потрібні рівні захисту.

Рекомендовані платні модулі OcBox

Smart Related $30 — пов’язані товари

SEO FAQ AI $30 — AI FAQ + Schema.org

AI Product Editor $40 — масове редагування

Image Pro $15 — WebP, водяний знак (beta)

Ми рекомендуємо шаблони від 29aleksey

Найкраще працює зі швидкими шаблонами. 29aleksey робить топові шаблони для OpenCart 2.3/3.0 з акцентом на швидкість і оптимізацію з коробки:

Prime	UpStore	CyberStore
Chameleon	LuxShop	NewStore