Sikkerhed · 24
Laravel-apps bliver typisk ramt gennem en lækket .env-fil, debug-mode i produktion eller gamle pakker. Sådan får vi appen i luften igen inden for 24 timer.
Kontakt osDe fleste hacks af Laravel- og PHP-apps starter et af tre steder. Webserveren peger på projektets rod i stedet for public-mappen, så .env med databaseadgang, API-nøgler og APP_KEY kan hentes direkte. APP_DEBUG står til true i produktion, så fejlsider viser miljøvariabler og stier, og på ældre installationer har debug-siden Ignition haft en kendt sårbarhed, der gav mulighed for at køre kode. Eller composer-pakker og PHP selv er ikke opdateret, så kendte huller står åbne.
Vi tager appen af nettet eller bag en vedligeholdelsesside og sikrer en kopi af kode, database og logs. Derefter sammenligner vi koden på serveren med jeres Git-repository, gennemgår public- og storage-mapperne for fremmede PHP-filer, tjekker cronjobs, køer og brugere i databasen og kører composer audit mod de installerede pakker. Appen genetableres fra ren kode i Git og en database fra før angrebet eller renset for indsprøjtet indhold, og den kører igen inden for 24 timer.
Alle hemmeligheder i .env skiftes: APP_KEY, databaseadgang, mail, betalings- og API-nøgler. Debug-mode slås fra, webserveren peger kun på public, og PHP kører på en understøttet version med seneste sikkerhedsrettelser. PHP 8.1 fik sin sidste sikkerhedsrettelse i slutningen af 2025, og kritiske huller i PHP rettes løbende i nye patch-versioner af 8.2 til 8.5, så en app på en gammel version er udsat, uanset hvor ren koden er. Opgradering af Laravel eller PHP planlægges separat.
Appen tages af nettet eller bag en vedligeholdelsesside, og kode, database og logs gemmes, før noget slettes.
Koden sammenlignes med Git, public, storage, cronjobs og database gennemgås, og indgangen findes.
Appen bygges fra ren kode, databasen renses eller hentes fra før angrebet, alle nøgler skiftes, og appen kører igen.
I får en rapport om indgang og omfang og en plan for opdatering af pakker, Laravel og PHP.
.env skal ligge uden for webroden, og kun public-mappen må være tilgængelig fra nettet. Vi tjekker webserverens konfiguration, at .env, .git og storage ikke kan hentes direkte, og at APP_DEBUG er false i produktion. Værktøjer som Telescope, Horizon og andre dashboards må kun være tilgængelige for godkendte brugere.
En Laravel-app har typisk mange composer-pakker, og sårbarheder findes i dem lige så ofte som i frameworket. Vi kører composer audit, opdaterer pakker med kendte huller og tjekker, at PHP kører på en version, der stadig får sikkerhedsrettelser. Ligger appen på delt hosting med en gammel PHP-version, flytter vi den.
Bagdøre lægges typisk som PHP-filer i public eller i uploads under storage, som ændringer i eksisterende controllere og config-filer, eller som cronjobs og køjobs, der henter kode udefra. Vi sammenligner serverens kode med Git linje for linje og gennemgår crontab, supervisor og databasens brugere og jobs.
Sådan forløber det
Kl. 8.40 ringer I, fordi hostingudbyderen har lukket serveren for udsendelse af spam. Inden for en time er appen bag en vedligeholdelsesside, og kode, database og logs er gemt. Kl. 12 har vi fundet indgangen: webroden pegede på projektets rod, så .env kunne hentes, og der ligger to PHP-filer i storage og et fremmed cronjob. Om aftenen er appen deployet fra Git, APP_KEY og alle nøgler er skiftet, og webroden peger på public. Næste morgen kører den igen med debug-mode slået fra.
Mere inden for Sikkerhed
O 
M 
B 
L 
S 
H H H H K 
Skræddersyet design og udvikling af møbelshop. Markedsføring gennem PPC med 200% vækst.
Se alle cases
All-around design, udvikling, branding, strategi og søgemaskineoptimering
Nyt design og ny teknik: Astro-frontend på Cloudflare, PrestaShop 9.1 bagved og egen checkout.
Avanceret Google Tag Manager setup til konverteringstracking
Et digitalt sats på e-handel, der gav pote. Se vores arbejde for Werenberg, og hvordan vækstkurven blev stejl med en stabil og udviklingsdygtig webshop.
Ofte stillede spørgsmål
Tag appen af nettet eller bag en vedligeholdelsesside, og lad være med at slette filer, før der er taget en kopi af kode, database og logs. Skift adgange til server, hosting og Git, og ring til os. Er kunde- eller persondata berørt, skal I vurdere anmeldelse til Datatilsynet inden 72 timer.
APP_KEY bruges til at kryptere og signere cookies, sessioner og krypterede felter. Har en angriber nøglen, kan de forfalske data, appen stoler på. Vi skifter nøglen og bruger Laravels mulighed for at angive den gamle nøgle som tidligere nøgle, så krypterede data stadig kan læses, mens de krypteres om.
Oprydning afregnes efter tid og starter typisk omkring 10.000 kr. En opgradering af Laravel eller PHP til en ny hovedversion prissættes separat efter en gennemgang af koden og pakkerne.
Nej. Vi er et web-, e-handels- og AI-bureau, der tager sikkerheden i det digitale, vi bygger og drifter, alvorligt: site, shop, hosting, mail, DNS, adgange og backup. Penetrationstest, døgnbemandet overvågning (SOC), forensics og juridisk rådgivning henviser vi til specialister og koordinerer med dem.
Med et sikkerhedstjek af website, webshop, mail og adgange. På en til to uger får I en prioriteret liste over fund med alvor og indsats, og de kritiske kan typisk lukkes med det samme.
Nødvendige cookies får siden til at virke. Statistik og markedsføring sætter vi kun med dit samtykke. Du kan altid ændre valget nederst på siden. Læs cookiepolitikken.
