今回は文字が多いので Qiita スライドモードでお送りします
Agenda
- セキュリティをふまえたサーバーの選び方
- EC-CUBE2.17の世界一早い最新情報
セキュリティをふまえたサーバーの選び方
セキュリティとは🤔
- 情報セキュリティ
- システムセキュリティ
今日はシステムセキュリティ中心のお話しです
セキュリティを強化するには
- 最少権限の原則
- セキュリティと利便性はトレードオフ
- セキュリティを強化すれば不便になる
セキュリティのための機能
- ファイルのパーミッション
- WAF
- ssh
- 公開鍵認証
など
便利機能を使わないことで強化する
- デザイン管理, ファイル管理画面は使わない
- FTP/SSH ユーザーと, Webサーバーは異なるユーザー権限
- 公開領域にファイルアップロード可能な機能は要注意
- 画像アップロードは管理画面からしない
- 画像に偽装した PHP ファイルも作れたりするので
- ユーザーにアップロードさせる機能は極力避ける
- .htaccess, config.php は読み取り専用
- プラグインを本番環境に直接インストールしない
他の CMS と同居
- 他の CMS と同居させない
- WordPress はファイルの書き込みに FTP 機能を使用することでセキュリティを確保している
- プラグインは最小限に. 多くのユーザーが使用しているものを選ぶ
- phpMyAdmin を使わない
- データベースに外部からアクセスさせない
- データベースの権限を絞る
WordPress 向けには良い資料があります
サーバー選びの要件
- FTP/SSH ユーザーと, Webサーバーは異なるユーザー権限を設定可能
- セキュリティパッチの適用が早い
- SSH公開鍵認証を利用可能
- データベースの権限を細かく設定可能
- せめて複数のアカウントを設定可能
- WAF が使える
EC-CUBE2.17の世界一早い最新情報
2019年10月31日 EC-CUBE2.17.0 リリース㊗️
- 約4年ぶりの2系リリース
特徴
- MySQLで約200%の高速化
- PostgreSQL と MySQL の性能差が少なく
- PHP5.4以降のサポート
- データベースの変更無し
- Composer 導入
多くの不具合修正
- 税率設定は商品ごと
- モバイル(ガラケー)は廃止
CI/CD の導入
- 世界に先がけ GitHub Actions の導入
- PHP5.4から7.3まで自動的にテスト
- ユニットテストのカバレッジ52%
- E2Eテスト
- 自動的にパッケージング
リポジトリ変更
- Gitコマンドも自動的にリダイレクトされるので、手元の開発環境は変更無し
古い2系からの移行
- 移行手順
- 2.4からのデータ移行プラグイン
2015年時点で作ってあった、2.4系→2.17系移行ツール😃
— のぶ (@redsnow_) November 1, 2019
手直しして再リリースしよーっとhttps://t.co/ONrY8LdvhO
そのほか
- 2.13系のプラグインは,だいたい動く
- プラグインが PHP7 に対応していれば
- git でインストールするのがおすすめ