Web Application Firewall. Web Application Firewall sperrt auffällige IP-Adressen, CIDR-Bereiche, ganze Länder und schädliche Bots aus, bremst zu aufdringliche Clients, schützt die Anmeldung im Back Office vor Brute Force und stoppt die üblichen Angriffsmuster (SQLi / XSS / LFI / Scans). Eine Whitelist mit Schutz vor der eigenen Aussperrung hält Sie handlungsfähig, und jede blockierte Anfrage wird protokolliert. Kein Code, keine Änderungen am Theme.
Web Application Firewall sperrt auffällige IP-Adressen, CIDR-Bereiche, ganze Länder und schädliche Bots aus, bremst zu aufdringliche Clients, schützt die Anmeldung im Back Office vor Brute Force und stoppt die üblichen Angriffsmuster (SQLi / XSS / LFI / Scans). Eine Whitelist mit Schutz vor der eigenen Aussperrung hält Sie handlungsfähig, und jede blockierte Anfrage wird protokolliert. Kein Code, keine Änderungen am Theme.
1. Installation
- Gehen Sie im Back Office auf Module → Modulmanager → Modul hochladen und wählen Sie die ZIP-Datei des Moduls aus.
- Klicken Sie nach der Installation auf Konfigurieren, um den Assistenten zu öffnen.
.local, .test, localhost) sind immer zugelassen. Sobald eine neue Version vorliegt, wird sie direkt im Modul angezeigt.Steht statt der Bestätigung „Upload failed“ da, hat PrestaShop das Modul möglicherweise abgeschaltet, ohne es Ihnen zu sagen: Einstellungen und Daten bleiben erhalten. Wie man ein Modul aktualisiert, und was bei „Upload failed“ zu tun ist.
2. Konfiguration: Schritt für Schritt
Das Modul ist in Reiter gegliedert: Regeln und Whitelist, Sperrprotokoll, Anmeldeschutz und Einstellungen. Die folgenden Abschnitte folgen dem Reiter Einstellungen, in dem jeder Schutz seinen eigenen Schalter hat.
Allgemein Hauptschalter
Der Ein-/Ausschalter der gesamten Firewall und die Frage, woher die IP-Adresse des Besuchers gelesen wird.
- Firewall aktivieren: Hauptschalter. Aus bedeutet, im Front Office wird nichts gefiltert.
- Hinter Proxy / CDN: nur einschalten, wenn Ihr Shop wirklich hinter einem vertrauenswürdigen Proxy oder CDN steht. Sonst sind die Proxy-Header fälschbar und ein Angreifer könnte sich IP und Land frei aussuchen.
- Vertrauenswürdiger Proxy-Header: welcher Header die echte Besucher-IP trägt, Auto (Cloudflare → X-Real-IP → X-Forwarded-For), CF-Connecting-IP, X-Real-IP oder X-Forwarded-For.
Sperren nach IP / CIDR
Sperren Sie einzelne IP-Adressen oder ganze CIDR-Bereiche.
- IP-/CIDR-Blacklist aktivieren: schaltet das Sperren nach IP und Bereich ein.
- Die Einträge von Blacklist und Whitelist werden im Reiter Regeln und Whitelist gepflegt. Eine IP oder ein Bereich auf der Whitelist umgeht alle anderen Prüfungen.
Sperren nach Land
Besucher nach Land zulassen oder abweisen (ISO-Codes mit zwei Buchstaben).
- Ländersperre aktivieren: schaltet den Geofilter ein.
- Modus: Sperrliste (die genannten Länder sperren) oder Positivliste (nur die genannten Länder zulassen).
- Ländercodes: ISO-Codes mit zwei Buchstaben, durch Komma getrennt, zum Beispiel
RU, CN, KP. - Pfad zur GeoIP-Datenbank: optionaler Pfad zu Ihrer eigenen MaxMind-GeoLite2-Datei
.mmdb. Dem Modul liegt keine GeoIP-Datenbank bei (Lizenzgründe): bringen Sie Ihre eigene mit, oder stützen Sie sich auf den Länder-Header eines CDN (etwa CF-IPCountry), indem Sie „Hinter Proxy / CDN“ einschalten.
Schädliche Bots / User-Agents
Sperren Sie bekannte Scraper, Scanner und verdächtige Clients anhand ihres User-Agent.
- User-Agent-Sperre aktivieren: schaltet den Filter auf den User-Agent ein.
- Leere User-Agents sperren: weist Anfragen ab, die gar keinen User-Agent senden.
- Zusätzliche gesperrte User-Agent-Zeichenfolgen: eine Zeichenfolge pro Zeile; sie ergänzen eine sinnvolle interne Liste bekannter Scraper und Scanner.
Ratenbegrenzung
Bremsen Sie Clients, die in kurzer Zeit zu viele Anfragen senden.
- Ratenbegrenzung aktivieren: schaltet den Begrenzer ein.
- Maximale Anfragen pro Zeitfenster: wie viele Anfragen eine IP senden darf, bevor sie gebremst wird.
- Zeitfenster (Sekunden): das gleitende Zeitfenster, in dem die Anfragen gezählt werden.
- Dauer der vorübergehenden Sperre (Sekunden): wie lange die auffällige IP gesperrt bleibt.
Sperren von Angriffsmustern
Erkennen und sperren Sie die üblichen Angriffssignaturen in Anfragen.
- Sperren von Angriffsmustern aktivieren: sperrt SQLi, XSS, LFI und Scans.
- Eigene Muster ergänzen Sie im Reiter Regeln und Whitelist, dort setzen Sie auch berechtigte URLs auf die Whitelist, die sonst fälschlich erkannt würden.
Schutz der Back-Office-Anmeldung
Schützen Sie die Administratoranmeldung vor Brute-Force-Versuchen.
- Anmeldeschutz aktivieren: verfolgt fehlgeschlagene Back-Office-Anmeldungen je IP und Benutzername.
- Erlaubte Fehlversuche, Zeitfenster der Versuche (Sekunden) und Sperrdauer (Sekunden): nach zu vielen Fehlversuchen im Zeitfenster wird die Quelle vorübergehend gesperrt.
- Back Office nur von IP-Adressen der Whitelist zulassen: beschränkt den Administratorzugang auf die Whitelist. Vergewissern Sie sich vorher, dass Ihre aktuelle IP darin steht (die Seite zeigt Ihre IP an und warnt Sie, falls nicht).
Wartung und Protokoll
Der Sperrmodus und das Protokoll der blockierten Anfragen.
- Sperrmodus: nur IP-Adressen der Whitelist erreichen den Shop (Notabschaltung). Setzen Sie vorher Ihre IP auf die Whitelist.
- Blockierte Anfragen protokollieren: hält jede blockierte Anfrage fest (Ansicht und Export im Reiter Sperrprotokoll).
- Aufbewahrung des Protokolls (Tage): wie lange die Protokollzeilen aufgehoben werden.
- Alle Daten bei Deinstallation löschen: ist die Option an, entfernt die Deinstallation auch Regeln und Protokolle.
3. Prüfen, ob alles läuft
- Im Reiter Regeln und Whitelist zeigt das Hinweisfeld Ihre aktuelle IP und ob sie auf der Whitelist steht: tragen Sie sie ein, bevor Sie den Sperrmodus oder den auf die Whitelist beschränkten Back-Office-Zugang einschalten.
- Tragen Sie eine Test-Zeichenfolge für einen User-Agent ein und rufen Sie dann eine Seite mit diesem User-Agent auf: die Anfrage muss blockiert werden und im Sperrprotokoll erscheinen.
- Öffnen Sie den Reiter Sperrprotokoll: blockierte Anfragen stehen dort mit IP, Land, Grund und URI; Sie können filtern, als CSV exportieren oder das Protokoll leeren.
- Der Reiter Anmeldeschutz listet fehlgeschlagene Back-Office-Anmeldungen auf und hebt eine Sperre mit einem Klick wieder auf.
4. Häufige Fragen
Kann ich mich selbst aussperren?
Der Reiter Regeln zeigt immer Ihre aktuelle IP und warnt Sie, wenn sie nicht auf der Whitelist steht. Tragen Sie sie ein, bevor Sie den Sperrmodus oder den auf die Whitelist beschränkten Back-Office-Zugang einschalten, dann kann Ihnen nichts passieren.
Braucht die Ländersperre einen externen Dienst?
Nein. Sie liest den Länder-Header eines CDN, wenn Sie hinter einem Proxy oder CDN stehen, oder Ihre eigene MaxMind-GeoLite2-Datenbank. Es liegen keine GeoIP-Daten bei und es verlässt kein Aufruf Ihren Server.
Bremst das meinen Shop aus?
Nein. Die Prüfungen sind schlank und laufen früh in der Anfrage; rechtmäßige Besucher merken nichts davon.
Muss ich mein Theme ändern?
Nein. Die Firewall arbeitet über die Standard-Hooks und verträgt sich mit jedem Theme.