Controlli di sicurezza per Drupal: impostazioni, moduli e permessi
La pagina Report di stato di Drupal segnala alcuni problemi, ma solo a chi la apre, un sito alla volta. L'agente fa gli stessi controlli e qualcuno in più su tutti i siti Drupal.
Le impostazioni di Drupal si dimenticano dopo il lancio.
Senza trusted_host_patterns Drupal risponde a qualunque header Host, e questo permette di avvelenare la cache e di mandare link di reset della password falsi. Devel o il modulo PHP lasciati attivi dopo lo sviluppo mostrano l'interno del sito o fanno eseguire codice dal browser.
Sono impostazioni che si mettono a posto in cinque minuti, se qualcuno ti dice che mancano.
Cosa controlliamo.
settings.php
trusted_host_patternsmancante,hash_saltcorto o vuoto ($drupal_hash_saltsu Drupal 7), file di impostazioni scrivibile.Moduli e permessi
Devel, Webprofiler, Kint e il modulo PHP attivi, permessi "Give to trusted roles only" dati ad anonimi o autenticati, Full HTML per tutti.
Funzionamento
Cron fermo, cache delle pagine o aggregazione CSS e JavaScript spente, aggiornamenti del database in attesa.
Vuoi provarlo su un sito vero? La prova di 30 giorni non chiede la carta di credito.
Prova gratisDomande frequenti
Funziona su Drupal 7?
Sì, con il modulo per Drupal 7. Alcuni controlli usano i nomi di Drupal 7, per esempio `$drupal_hash_salt`.
Da vedere insieme
- Monitoraggio dei siti Drupal per le agenzie webUn modulo Drupal nativo, con release insicure e integrità del core da drupal.org.
- Avvisi per core e moduli Drupal con release insicureDati di drupal.org: release insicure e versione che le corregge.
- Verifica dell'integrità dei file del core di Drupal, anche nei progetti ComposerOgni file del core confrontato con l'archivio di drupal.org, archivi e Composer.
- Privilegi dell'utente del database: un sito bucato non deve aprire gli altriUtenti MySQL con privilegi globali o che vedono altri database.
Provalo sui siti dei tuoi clienti.
Collega oggi i primi siti e guarda cosa ci trova SitePing.
- Tutte le funzioni di Complete tranne i backup
- Fino a 10 siti
- Per iniziare non serve la carta di credito
- Alla fine scegli un piano o passi a Free, e non paghi niente
Hai già un account? Accedi. Preferisci guardare prima un sito? Audit gratuito in sola lettura.