Die Magento-REST-API ist an — auch wenn du sie nicht nutzt

Jede Magento-2-Installation bringt eine vollständige REST-Schnittstelle mit, und sie ist ab Werk erreichbar. Das ist sinnvoll, wenn du eine App, ein Headless-Frontend oder eine ERP-Anbindung betreibst. Betreibst du nichts davon — und das trifft auf viele klassische Shops zu — steht trotzdem eine Angriffsfläche offen, die niemand braucht.

Die Endpunkte, die ohne Anmeldung erreichbar sein müssen

Die meisten Endpunkte verlangen ein Token. Zwei aber können das systembedingt nicht, weil sie genau dazu da sind, dieses Token auszustellen:

• Der Endpunkt für Administrator-Tokens nimmt Benutzername und Passwort entgegen und gibt bei Erfolg ein Token mit Adminrechten zurück.
• Das Gegenstück für Kundenkonten funktioniert genauso, nur mit Kundendaten.

Beide sind damit ein bequemer Ort, um Zugangsdaten durchzuprobieren — ohne Formular, ohne Umweg über die Oberfläche, in beliebiger Geschwindigkeit und gut automatisierbar. Beim Kundenendpunkt kommt hinzu, dass anderswo erbeutete E-Mail-Passwort-Kombinationen massenhaft durchgetestet werden können.

Magento sperrt Konten nach mehreren Fehlversuchen, und das hilft. Es ändert aber nichts daran, dass die Tür überhaupt offensteht — und Kontosperren haben ihre eigene unangenehme Seite: Wer genug Benutzernamen kennt, kann damit Mitarbeiter gezielt aussperren.

Das größere Risiko: zu weit gefasste Tokens

Gefährlicher als der Login-Endpunkt selbst sind die Tokens, die im Umlauf sind. Integrationen bekommen bei der Einrichtung oft pauschal alle Rechte, weil das schneller geht als die Auswahl einzelner Bereiche. Solche Tokens laufen lange, stehen in Konfigurationsdateien beim Dienstleister und tauchen in Skripten auf.

Gerät ein solches Token nach draußen, hat der Empfänger denselben Zugriff wie die Integration — Kundendaten, Bestellungen, Preise. Ohne dass jemand ein Passwort gebrochen hätte.

Prüfen, ob du die Schnittstelle überhaupt brauchst

Bevor du etwas abschaltest, stelle fest, was tatsächlich genutzt wird. Das geht ohne Spezialwerkzeug:

• Im Zugriffs-Log des Webservers nach Aufrufen suchen, die den REST-Pfad enthalten — über einen Zeitraum von mindestens zwei Wochen, damit auch nächtliche Abgleiche auftauchen.
• Im Backend unter System → Integrationen nachsehen, welche Integrationen aktiv sind und welche Rechte sie haben.
• Beim Dienstleister nachfragen, der ERP, PIM oder Marktplatzanbindung betreut — häufig weiß nur er, welche Wege genutzt werden.

Vorsicht bei pauschalen Sperren: Wenn du ein Headless-Frontend, eine App oder eine Warenkorb-Integration betreibst, brauchst du Teile der Schnittstelle zwingend. Auch manche Zahlungs- und Versandmodule sprechen über sie. Erst messen, dann sperren — nicht umgekehrt.

Was du absichern kannst

• Nicht benötigte Endpunkte serverseitig blockieren, bevor Magento sie überhaupt verarbeitet.
• Den Administrator-Token-Endpunkt auf bekannte IP-Adressen beschränken, wenn er nur von einem festen System genutzt wird.
• Rechte bestehender Integrationen zusammenstreichen — eine Warenwirtschaft braucht selten Zugriff auf Adminbenutzer.
• Tokens erneuern, wenn ein Dienstleisterwechsel ansteht oder ein Zugang außer Haus war.
• Vor die Anwendung ein Ratenlimit setzen, damit Massenversuche auffallen und ausgebremst werden.

Unser Modul REST-Blocker setzt den ersten Punkt um: Es weist Anfragen auf eine feste Liste sensibler Endpunkte ab, bevor sie den Controller erreichen — darunter die Token-Endpunkte, die Verwaltung von Adminbenutzern, die Modulliste und die Systeminformationen.

Kurz gefasst

Die REST-API ist kein Fehler in Magento, sondern eine Funktion. Sie wird nur dann zum Problem, wenn sie niemand nutzt und trotzdem niemand abschaltet. Prüfe einmal im Log, was wirklich läuft, streiche die Rechte deiner Integrationen zusammen und sperre den Rest. Das ist eine Stunde Arbeit und nimmt eine der bequemsten Angriffsflächen vom Tisch.

Häufige Fragen