Quem ainda tem acesso à sua loja Magento? A revisão trimestral de acessos

Por que revisar acessos da loja Magento a cada trimestre

Acesso esquecido não aparece em relatório. Ex-funcionário, agência antiga, integração de um ERP que ficou só no teste, chave SSH de um freelancer que terminou o trabalho: tudo isso continua abrindo a porta até alguém fechar. No guia de resposta a incidentes da Adobe, auditar o acesso dos usuários do admin está entre os primeiros passos, com a orientação de remover contas antigas, sem uso ou suspeitas. A revisão trimestral faz isso antes do incidente.

O princípio por trás é o de privilégio mínimo: cada pessoa ou sistema só com o acesso de que precisa, nada liberado por padrão. A OWASP trata a violação desse princípio na categoria de falhas de controle de acesso, a primeira do Top 10 de 2025. Trimestre é a cadência que eu uso; saída de pessoa ou fim de contrato com fornecedor não espera, e o acesso cai no mesmo dia. Depois de uma invasão, a lista é a mesma, feita em horas, como no plano das primeiras 72 horas.

As 7 frentes da revisão de acessos e onde conferir cada uma

As consultas das frentes 1, 2 e 4, com os nomes de tabela da 2.4.8 e da 2.4.9:

SELECT user_id, username, email, is_active, logdate
  FROM admin_user
 ORDER BY logdate;

SELECT i.name, i.email, i.status, i.created_at,
       t.created_at AS token_criado, t.revoked
  FROM integration i
  LEFT JOIN oauth_token t
    ON t.consumer_id = i.consumer_id AND t.type = 'access'
 ORDER BY i.created_at;

SELECT user, host FROM mysql.user;

A primeira já aparece na rotina de manutenção preventiva. A segunda é a que costuma faltar: pela documentação da Adobe, o token de uma integração dura até ser revogado manualmente, então chaves de integração do Magento esquecidas continuam válidas.

Critério de remoção: quem sai, quem fica e quem vira conta individual

• Pessoa que saiu ou fornecedor encerrado: remove no dia, em todas as frentes, sem esperar a revisão. Para remover o usuário admin de ex-funcionário, use a tela de usuários do admin; se precisar manter o cadastro por um tempo, marque a conta como inativa.
• Sem login há mais tempo que o prazo da loja: defina o prazo (por exemplo, 90 dias) e desative primeiro. Se ninguém reclamar até a revisão seguinte, remova.
• Conta compartilhada: vira uma conta por pessoa. Com login coletivo não há como saber quem fez cada alteração, e o Magento já vem com a opção Admin Account Sharing desligada de fábrica para impedir o mesmo login em vários computadores.
• Papel maior que a função: quem só atende pedido não precisa do papel de administrador; ajuste em Sistema > Permissões > Papéis de usuário (User Roles).
• Integração sem dono: identifique quem usa antes de remover. Desative em horário de pouco movimento e acompanhe se pedido, estoque ou nota param de sincronizar.

Política de senha e 2FA no admin do Magento: o que conferir

Em Stores > Settings > Configuration > Advanced > Admin > Security, confira se alguém mudou os valores de fábrica sem motivo registrado. Os padrões abaixo estão no código da 2.4.8-p4 e da 2.4.9:

Pela documentação da Adobe, o 2FA é exigido para entrar no admin: cada usuário configura o segundo fator no primeiro acesso. Se bin/magento module:status Magento_TwoFactorAuth mostrar o módulo desativado, isso precisa de justificativa escrita. A exceção documentada é a loja com login pelo Adobe IMS, que desliga o 2FA nativo.

Planilha-modelo para registrar a revisão de acessos

Revisão sem registro vira opinião na próxima vez. A planilha que eu recomendo tem uma linha por acesso (as duas linhas abaixo são exemplos fictícios):

Guarde a planilha de cada trimestre. Numa auditoria de loja Magento, ela é evidência do bloco de segurança; na troca de fornecedor, é a lista do que precisa ser revogado.