Rekomendacje w zakresie bezpieczeństwa i konfiguracji

Poniżej przedstawiamy rekomendacje w zakresie bezpieczeństwa i konfiguracji aplikacji Comarch B2B. Zastosowanie się do nich zwiększy bezpieczeństwo użytkowania aplikacji.

Uwaga
Wszystkie opisane zalecenia są dobrowolne i ich wdrożenie leży po stronie klienta. Można wprowadzić wszystkie zalecenia na raz lub zastosować tylko wybrane.

Im więcej rekomendacji zostanie wdrożonych, tym uzyska się większy poziom bezpieczeństwa aplikacji Comarch B2B.

Niewykonanie żadnych z tych zaleceń nie spowoduje błędnego działania aplikacji.

 

Zainstalowanie certyfikatu SSL

Obecnie większość stron internetowych, a tym bardziej aplikacji dostępnych w Internecie działa za pośrednictwem połączenia szyfrowanego HTTPS. W aplikacji Comarch B2B występują obszary tj. np. strona logowania, gdzie przesyłane są login i hasło użytkownika. W celu zwiększenia bezpieczeństwa klientów, dane te powinny być przesyłane w żądaniach HTTPS, czyli zabezpieczone certyfikatem SSL.

Zalecamy:
Korzystanie w Comarch B2B z szyfrowanego protokołu HTTPS.

Jak to zrobić?
Należy we własnym zakresie zakupić certyfikat SSL, a następnie skonfigurować aplikacje Comarch B2B według instrukcji opisanej w artykule: Jak zainstalować certyfikat SSL w Comarch B2B?

 

Bezpieczne skonfigurowanie IIS

IIS jest instalowany samodzielnie przez klienta, Comarch B2B nie dostarcza jego instalacji ani konfiguracji. Poniżej znajdują się zalecenia, jak skonfigurować serwer, aby zwiększyć bezpieczeństwo działania aplikacji Comarch B2B.

Zalecamy:
1. Skonfigurować serwer webowy z wykorzystaniem hardeningu IIS.
2. Włączyć na serwerze nagłówki bezpieczeństwa: HSTS, CSP, X-Content-Type-Options, X-Frame-Options, X-XSS-Protection, Refferer Policy.

Jak to zrobić?
ad. 1. Należy skonfigurować serwer według instrukcji opisanej w artykule: Jak skonfigurować serwer webowy z wykorzystaniem hardeningu IIS dla Comarch B2B?
ad. 2. Należy włączyć na serwerze nagłówki bezpieczeństwa według instrukcji opisanej w artykule: Jak skonfigurować na serwerze nagłówki bezpieczeństwa?

 

Korzystanie z nowego sposobu tworzenia haseł

Zmiana sposobu tworzenia nowego hasła oraz logowana została wprowadzona w wersji 2018.5 Comarch B2B. W nowym sposobie hasła są zaszyfrowane i zahaszowane, co jest najlepszą ochroną haseł użytkowników.

Zalecamy:
Włączyć nowy sposób zakładania hasła.

Jak to zrobić?
Należy w pliku konfiguracyjnym appSettings.config ustawić w parametrze “NewUserVerification” value=”1″.
Więcej na ten temat znajduje się w artykule: Nadawanie hasła kontrahentowi i jego odzyskiwanie

 

Zaszyfrowanie danych w pliku connectionStrings

W pliku konfiguracyjnym connectionStrings znajdują się dane, do których dostęp powinni mieć tylko wybrani administratorzy aplikacji Comarch B2B. Należy zaszyfrować plik, aby zapobiec nieautoryzowanemu dostępowi do bazy i aplikacji, w przypadku wycieku pliku.

Zalecamy:
Zaszyfrować dane w pliku connectionStrings.

Jak to zrobić?
Należy uruchomić plik connectionStringsEncode.bat z katalogu CustomerPanel/ BatchScripts.
Więcej na ten temat znajduje się w artykule: Aktualizacja Comarch B2B

Uwaga
Plik connectionStringsEncode.bat umożliwiający zaszyfrowanie danych dostępny jest od wersji Comarch B2B 2024.0
Uwaga
Od wersji Comarch B2B 2024.1 plik connectionStrings jest automatycznie szyfrowany podczas instalacji i aktualizacji. Dodatkowo został wprowadzony wymóg zaszyfrowania danych pliku connectionStrings.config – jeśli plik nie będzie zaszyfrowany, aplikacja Comarch B2B będzie niedostępna.

 

Korzystanie z najnowszych wersji systemów ERP i Comarch B2B

Najnowsze wersje systemów ERP oraz Comarch B2B umożliwiają prace zgodnie z obowiązującymi przepisami prawa. Ponadto, zawierają nowe funkcje, zmiany i poprawki oraz aktualizacje technologii. Wszystko to sprawia, że użyteczność programów jest lepsza dla użytkowników.

Zalecamy:
Korzystać z najnowszych wersji systemów ERP (XL i Altum) oraz aplikacji Comarch B2B.

Jak to zrobić?
Należy pobrać aktualne wersje programów, a następnie je zaktualizować. Instalatory nowych wersji znajdują się w odpowiednich sekcjach na Indywidualnych Stronach dla Partnerów oraz Indywidualnych Stronach dla klientów.

 

Czy ten artykuł był pomocny?