system enthält grundlegende technische Konfigurationen des Shops. Diese steuern das Systemverhalten auf infrastruktureller Ebene - unabhängig von Shop-Inhalten.
Die Konfiguration erfolgt im Admin-Interface im Bereich “Storefront-API”.
system* - Grundstruktur
Nachfolgend der Grundaufbau des Knotens system
Parameterbeschreibung
system.trustedProxies - Vertrauenswürdige Proxy-Server
In manchen Setups ist der Shop nicht direkt über das Internet erreichbar, sondern über einen vorgelagerten Server. Dies ist beispielsweise der Fall, wenn eine Agentur das Shop-Frontend auf ihrer eigenen Infrastruktur hostet. In diesem Fall sieht der Shop bei eingehenden Anfragen nicht die IP-Adresse des Endkunden, sondern nur die des Agentur-Servers.
Das ist problematisch, sobald der Shop IP-Adressen sperren muss, beispielsweise bei zu vielen fehlerhaften Login-Versuchen oder auffälligen Zahlungsvorgängen. Da alle Anfragen in diesem Fall von derselben Server-IP der Agentur kommen, würde eine Sperre den Shop somit für alle Kunden unzugänglich machen.
Warum ist eine Whitelist notwendig?Der Shop darf den
X-Forwarded-For-Header nicht von beliebigen Servern akzeptieren. Ein Angreifer könnte diesen Header selbst setzen und dem Shop eine gefälschte IP-Adresse übermitteln, wodurch IP-basierte-Schutzmechanismen umgangen würden.
Deshalb wird mit trustedProxies eine Whitelist gepflegt. Nur Server, deren IP-Adresse dort eingetragen ist, dürfen den X-Forwarded-For-Header setzen. Von allen anderen Servern wird dieser Header ignoriert.
Wenn der Shop hinter einem Proxy-Server betrieben wird und
trustedProxies nicht korrekt konfiguriert ist, können IP-Sperren die gesamte Proxy-IP betreffen und somit den Shop für alle Kunden sperren. Stellen Sie in diesem Fall sicher, dass der Proxy-Server die echte Client-IP per X-Forwarded-For weiterleitet und seine IP hier eingetragen ist.Beispielkonfiguration system.trustedProxies
Parameterbeschreibung
Unterstützte IP-Formate
Subnetze in CIDR-Notation sind besonders dann sinnvoll, wenn ein vorgelagerter Server eine dynamische IP aus einem bekannten, festen Adressbereich verwendet.