Как WooCommerce укрепляет свою безопасность: новые подходы и технологии

В последние месяцы WooCommerce, популярная платформа для электронной коммерции, активно обновляет свою безопасность. Это связано с ростом числа уязвимостей, обнаруженных как исследователями, так и внутренними командами. В данной статье мы рассмотрим, что изменилось в подходах к безопасности WooCommerce, какие меры были предприняты и как это влияет на пользователей.

Увеличение числа уязвимостей

Согласно данным, количество отчетов о уязвимостях в продуктах WooCommerce через программу HackerOne увеличилось в девять раз за последний год. Это связано с тем, что исследователи и разработчики начали активно использовать инструменты на основе искусственного интеллекта для поиска уязвимостей в открытом коде. Важно отметить, что большинство из этих отчетов имеют среднюю или низкую степень серьезности, что означает, что они требуют внимания, но не являются критическими.

Проактивный подход к безопасности

Ранее работа по обеспечению безопасности была в основном реактивной: команда реагировала на поступающие отчеты. Однако с конца мая 2023 года WooCommerce перешла к более проактивному подходу. В июле была проведена проверка кода с использованием инструментов искусственного интеллекта, что позволило выявить высокосерьезные проблемы. В августе были проведены глубокие сканирования кода, которые выявили около 700 потенциальных уязвимостей. Каждый отчет требует проверки, исправления и тестирования, что делает процесс более трудоемким.

Автоматизация процессов

С целью ускорения работы над безопасностью WooCommerce внедрила автоматизированные сканирования кода при каждом слиянии в основные ветки разработки. С начала августа было выявлено 34 проблемы, из которых 18 оказались действительными. Это позволяет команде быстрее реагировать на уязвимости и предотвращать их попадание в релизы.

Улучшение процесса выпуска исправлений

Ранее исправления безопасности поставлялись вместе с обычными обновлениями, что создавало риски. Теперь критические и высокосерьезные исправления будут выпускаться отдельно, что позволяет избежать потери важных обновлений при откате других функций. Первые релизы с новым подходом — WooCommerce 11.2.2 и 11.3.1 — уже реализуют эту практику.

Поддержка старых версий

WooCommerce также внедрила политику поддержки исправлений безопасности для старых версий. Наиболее серьезные проблемы будут рассматриваться для обратной совместимости, что позволит пользователям старых версий получать необходимые обновления.

Рекомендации для пользователей

Для владельцев магазинов и разработчиков важно следовать нескольким рекомендациям для обеспечения безопасности:

Поддерживайте WooCommerce и все расширения в актуальном состоянии.

Проверяйте версию PHP на вашем сервере и планируйте обновление до версии 8.3 или новее.

Используйте расширения из официального магазина WooCommerce и поддерживайте активную подписку для автоматического получения критических исправлений.

Тестируйте свои сайты на наличие уязвимостей и обновлений, включая тестирование кандидатов на релиз.

Заключение

Безопасность остается приоритетом для WooCommerce, и команда продолжает работать над улучшением процессов и технологий. С учетом роста числа уязвимостей и использования инструментов искусственного интеллекта, WooCommerce стремится стать более защищенной платформой для электронной коммерции.