Drupal - Seguridad del sitio

En este capítulo, estudiaremos cómo proteger el sitio Drupal. Este capítulo especifica sugerencias de configuración de seguridad para los administradores del sitio y alerta al administrador sobre cómo proteger el sitio.

Hay muchos módulos contribuidos que le ayudan con la configuración de seguridad en la que Security Review El módulo automatiza la prueba de los errores que hacen que su sitio sea inseguro.

  • Puede informar un problema de seguridad directamente con Drupal core, contrib o Drupal.orgenviando un correo electrónico sobre el problema. El equipo de seguridad le ayudará a resolver su problema con la ayuda del encargado del proyecto.

  • Asegure los permisos y la propiedad de sus archivos al configuringel sistema de archivos del servidor, ya que el servidor web (por ejemplo, Apache) no debería tener acceso para editar o escribir los archivos. Deben ser archivos de solo lectura , que se ejecutan más tarde.

  • Los niveles de riesgo de seguridad se basan en el Sistema de puntuación de uso indebido común de NIST (NISTIR 7864) , de modo que la organización puede verificar cómo manejar el problema. A continuación se muestran los puntos que lo ayudarán a comprender el nivel de riesgo de seguridad al asignar el número entre 0 y 25:

    • 0 to 4 - No es crítico.

    • 5 to 9 - Menos crítico.

    • 10 to 14 - Moderadamente crítico.

    • 15 to 19 - Crítico

    • 20 to 25 - Muy crítico.

  • Si bien acepta información confidencial como el número de tarjeta de crédito, la PCI (industria de tarjetas de pago) define una serie de estándares de seguridad de datos . Aunque esto no es específico de Drupal, es importante que cada desarrollador de Drupal sea consciente de esto. Para saber más sobre los problemas de PCI, puede consultar este enlace Informe técnico de cumplimiento de PCI de Drupal .

  • Los usuarios pueden ser eliminados o incluso que los usuarios se eliminen a sí mismos en el sitio Drupal, lo que a veces puede llevar a una situación inesperada.

  • Habilitar HTTPS, que es más seguro para enviar información confidencial a un sitio web como:

    • Tarjetas de crédito

    • Cookies sensibles como las cookies de sesión PHP

    • Contraseñas y nombres de usuario

    • Información identificable (número de seguro social, números de identificación del estado, etc.)

    • Contenido confidencial

  • Mejore su seguridad utilizando contribuido modules. Algunas categorías de módulos estándar son:

    • Categoría de seguridad

    • Acceso / autenticación de usuario

    • Módulos de prevención de spam

  • Puede deshabilitar los roles y permisos del usuario instalando el Secure Permission módulo.

  • La operación de seguridad se puede mejorar en la operación de inicio de sesión instalando el Login Security módulo.

  • El administrador del sitio puede proteger su sitio haciéndolo privado y restringiendo el sitio a un acceso limitado para los usuarios por función. Debido a este proceso, su sitio no será accesible para los motores de búsqueda y otros rastreadores (para crear un índice de datos en www).