Den Administratorzugang von Magento auf erlaubte IPs beschränken

Den Administrationsbereich von Magento auf die IPs zu beschränken, von denen aus Sie arbeiten, schützt den Shop selbst dann, wenn jemand an ein Administratorpasswort gelangt, und bremst Angriffe auf Lücken im Administrationsbereich. Alles geschieht mit ein paar Zeilen in der .htaccess.

Öffnen Sie die .htaccess im Ordner, in dem Magento liegt, über den Dateimanager von cPanel (oder per FTP), erstellen Sie eine Kopie und fügen Sie die Regeln am Anfang der Datei ein, vor denen von Magento.

Eine einzelne IP erlauben

Finden Sie Ihre öffentliche IP heraus (suchen Sie bei Google nach „wie ist meine IP“) und fügen Sie Folgendes ein:

RewriteEngine On
RewriteCond %{REQUEST_URI} ^/(index\.php/)?admin(/|$) [NC]
RewriteCond %{REMOTE_ADDR} !^203\.0\.113\.10$
RewriteRule ^ - [F,L]

Ersetzen Sie 203\.0\.113\.10 durch Ihre IP. Setzen Sie vor jeden Punkt einen Backslash \ und behalten Sie das ^ am Anfang und das $ am Ende bei. Wer /admin von einer anderen IP aus aufruft, erhält einen 403-Fehler.

Mehrere IPs erlauben

Fügen Sie für jede IP eine Zeile RewriteCond %{REMOTE_ADDR} hinzu:

RewriteEngine On
RewriteCond %{REQUEST_URI} ^/(index\.php/)?admin(/|$) [NC]
RewriteCond %{REMOTE_ADDR} !^203\.0\.113\.10$
RewriteCond %{REMOTE_ADDR} !^203\.0\.113\.12$
RewriteCond %{REMOTE_ADDR} !^198\.51\.100\.25$
RewriteRule ^ - [F,L]

Wenn Ihr Anbieter Ihnen immer eine IP aus demselben Bereich gibt, können Sie den ganzen Bereich erlauben, indem Sie das Ende und das $ weglassen. !^203\.0\.113\. erlaubt zum Beispiel alle IPs, die mit 203.0.113. beginnen. Je kürzer das Präfix, desto mehr fremde IPs sind erlaubt.

Wenn Ihr Administrationspfad nicht /admin ist

Meistens wurde er geändert (Magento 2 schlägt bei der Installation einen zufälligen Pfad wie admin_1a2b3c vor). Sie können ihn per SSH im Magento-Ordner abfragen:

php bin/magento info:adminuri

Ersetzen Sie dann admin in der ersten Bedingung durch diesen Pfad. Zum Beispiel für backoffice:

RewriteEngine On
RewriteCond %{REQUEST_URI} ^/(index\.php/)?backoffice(/|$) [NC]
RewriteCond %{REMOTE_ADDR} !^203\.0\.113\.10$
RewriteRule ^ - [F,L]

Wenn der Shop in einem Unterordner liegt (zum Beispiel tudominio.com/tienda), nehmen Sie diesen Ordner mit auf: ^/tienda/(index\.php/)?admin(/|$).

Wenn sich Ihre IP täglich ändert: nur Ihr Land erlauben

Mit einem Anschluss mit dynamischer IP können Sie keine feste IP eintragen. Eine weniger strenge Alternative ist, den Administrationsbereich nur aus Ihrem Land zu erlauben. Der Server ermittelt bei jedem Besuch den Standort, daher genügt:

GeoIPEnable On
RewriteEngine On
RewriteCond %{REQUEST_URI} ^/(index\.php/)?admin(/|$) [NC]
RewriteCond %{ENV:GEOIP_COUNTRY_CODE} !^(ES)$
RewriteRule ^ - [F,L]

ES ist Spanien. Für mehrere Länder trennen Sie sie mit |: !^(ES|PT)$. Die übrigen Codes und weitere Beispiele finden Sie in Zugriff nach Ländern sperren oder erlauben.

Prüfen, ob es funktioniert

1. Rufen Sie über Ihren Anschluss den Administrationsbereich auf: Er muss wie immer laden.
2. Rufen Sie dieselbe Adresse vom Handy mit mobilen Daten auf (andere IP): Es muss der Fehler 403 „Forbidden“ erscheinen.
3. Probieren Sie auch die Variante mit index.php (tudominio.com/index.php/admin): Sie muss denselben 403-Fehler liefern.

Wenn Sie sich ausgesperrt haben, bearbeiten Sie die .htaccess im Dateimanager von cPanel und korrigieren Sie die IP oder entfernen Sie den Block. Wenn der Shop hinter Cloudflare oder einem anderen Proxy liegt, sieht der Server möglicherweise die IP des Proxys und nicht Ihre: Richten Sie die Beschränkung in diesem Fall direkt in Cloudflare ein.