Método recomendado para proteger / downloader?

Como o Magento usa o / downloader como uma maneira conveniente de instalar programas via Magento Connect Manager , é evidente que isso também é uma preocupação de segurança, pois permite a possibilidade de bots ou pessoas tentarem obter credenciais para a instalação.

Ao verificar os registros de acesso ao meu site, fiquei alarmado com a quantidade de tentativas no site www.mysite.com/downloader

Como alternativa, adquiri o hábito de renomear o diretório downloader para downloader.offline, mas ocasionalmente esqueço. (Para renomeá-lo novamente para instalar um programa ou depois que terminar).

Qual é o método recomendado para proteger esse link?

Basta colocar um .htaccess (ou se nginx / qualquer configuração) no downloaderdiretório Disallow from allpara proibir qualquer solicitação no diretório.

Se você deseja permitir alguns endereços IP (como o seu), tente algo como isto em seu .htaccess

order deny,allow
deny from all
allow from 1.2.3.4 5.6.7.8

Onde 1.2.3.4e quais 5.6.7.8são os endereços IP que você deseja transmitir.

Minha maneira preferida: basta excluir downloader

Junto com a recomendação de @ daniel-sloof, eu diria para abandonar completamente o instalador do Magento Connect. Eu geralmente o adiciono ao .gitignoreconfigurar um novo repositório.

O motivo é que, como Fabian aponta em sua resposta, comenta que não há como garantir a replicação do seu ambiente de produção no controle de origem sem confirmar os pacotes do Connect. O recurso que você estará perdendo aqui é a capacidade de atualizar / atualizar pacotes do Connect - mas se você realmente precisar dessa funcionalidade, sempre poderá fazê-lo localmente na sua caixa de desenvolvimento e confirmar os resultados quando estiver satisfeito com o funcionamento.

tl; dr:

Exclua a /downloaderpasta ou remova-a do seu controle de origem.

Normalmente, excluo o diretório do downloader, mas também achei a seguinte diretiva no htaccess raiz útil:

RewriteRule ^downloader/ - [L,R=404]

O que fará com que o Apache envie uma resposta 404, mesmo que o diretório do downloader esteja presente.

que tal renomear a pasta do downloader? Em caso de necessidade, é possível renomear facilmente de volta para "downloader", atualizando e instalando conforme necessário e alterando-o novamente. Parece funcionar para mim.