¿Método recomendado para proteger / descargar?

Dado que Magento utiliza el / downloader como una forma de instalar programas convenientemente a través de Magento Connect Manager , es evidente que esto también es un problema de seguridad, ya que permite la posibilidad de que los bots o personas intenten aprender las credenciales para la instalación.

Al revisar los registros de acceso a mi sitio web, me alarmó la cantidad de intentos que realizó en www.mysite.com/downloader

Como solución, me he acostumbrado a cambiar el nombre del directorio de descarga a downloader.offline, pero a veces lo olvido. (Ya sea para cambiarle el nombre para instalar un programa o después de que haya terminado).

¿Cuál es el método recomendado para proteger este enlace?

Simplemente coloque un .htaccess (o si nginx / whatever una configuración) en el downloaderdirectorio Disallow from allque contiene para prohibir cualquier solicitud en el directorio.

Si desea permitir algunas direcciones IP (como la suya), intente algo como esto en su .htaccess

order deny,allow
deny from all
allow from 1.2.3.4 5.6.7.8

Dónde 1.2.3.4y dónde 5.6.7.8están las direcciones IP que desea dejar pasar.

Mi forma preferida: simplemente eliminar downloader

Junto con la recomendación de @ daniel-sloof, diría que elimine el instalador de Magento Connect por completo. Generalmente lo agrego .gitignorecuando configuro un nuevo repositorio.

La razón es, como Fabian señala en sus comentarios de respuesta, que no hay forma de garantizar la replicación de su entorno de producción en el control de origen sin comprometer los paquetes de Connect. La característica que perderá aquí es la capacidad de actualizar / actualizar paquetes de Connect, pero si realmente necesita esa funcionalidad, siempre puede hacerlo localmente en su cuadro de desarrollo y confirmar los resultados cuando esté satisfecho de que funcionan.

tl; dr:

Elimine la /downloadercarpeta o elimínela de su control de origen.

Por lo general, elimino el directorio de descarga, pero también encontré útil la siguiente directiva en la raíz htaccess:

RewriteRule ^downloader/ - [L,R=404]

Lo que hará que Apache envíe una respuesta 404 incluso si el directorio de descarga está presente.

¿Qué pasa con el cambio de nombre de la carpeta de descarga? En caso de necesidad, se puede cambiar fácilmente el nombre a "descargador", actualizando e instalando según sea necesario, y luego volviéndolo a cambiar. Parece funcionar para mí