Ventil FeelFree

Aus aktuellem Anlass habe ich zusammengestellt, was für die Sicherheit von TYPO3-Websites getan werden kann. Nein, das ist keine neue Zusammenstellung von Ratschlägen. Ich habe den aktuellen Stand der Informationsmöglichkeiten und Quellen bezüglich TYPO3-Sicherheit zusammen getragen. Diesen Beitrag weiterlesen »

In der localconf.php stehen sehr empfindliche Daten im Klartext. Zum Beispiel das Datenbank-Passwort. Diese Daten fasse ich in einer seperaten Datei zusammen, die dann in ein abgesichertes Verzeichnis (minimale Dateirechte, nicht mit Browser erreichbar) verlegt wird. Mit

 <?php
include('<Absoluter Pfad>/safe/sensibel-localconf.php');

integriere ich diese Daten dann in die localconf.php.

Zusätzlich kann das “sichere” Verzeichnis mit einem zusätzliche Passwort über .htaccess und .htpasswd gesichert werden. Beispiele für das HowTo dazu gibt es reichlich bis hin zu Generatoren.

Mit dieser Option in der .htaccess wird das aktuelle Verzeichnis und alle darunter liegenden Ordner gegen Auflistung der enthalten Dateien gesperrt.. Wenn jemand ein Verzeichnis anfordert, das auch keine standardmäßige Index-Dateie (index.php, index.htm, default.asp usw.) enthält, wird ein 403-Fehler-Code an den Browser geschickt:

Diesen Beitrag weiterlesen »

Ein Artikel zu dem ich nur sagen kann: “Must have!”. Mal wieder im TYPO3 Blogger gefunden: Passwort Sicherheit erhöhen mit saltedpasswords Mit den beiden Extensions rsaauth und saltedpasswords kann die Sicherheit der TYPO3-Installation wesentlich erhöht werden.

Dem Artikel von Peter Kraume bleibt nichts hinzuzufügen. Einleitende Erklärung, fehlerfrei und leicht zu verstehen. Sicherheit für Passwörter in 5 Minuten. Meine Tipps: installieren der Extensions (sind als Systemextensions vorinstalliert) und abonnieren von TYPO3 Blogger!

Dem Dank und der Würdigung der Arbeit des TYPO3 Security Teams möchte ich mich hier anschließen.

Grundsätzlich erhöhen fünf trivial klingende Maßnahmen die Sicherheit einer Website ungemein:

• Nutzen Sie für eine produktive Website das “Blank Package“. Denn Sie können bei einer vorbereiteten TYPO3-Website nicht wissen, was und wo konfiguriert wurde.
• Den admin-User löschen und einen eigenen Administrator einrichten. Dabei ein sicheres Passwort benutzen.
• Die aktuelle Version des CMS und der Extensions bzw. Plugins nutzen. Immer die neuesten Meldungen zu TYPO3 liefert das Gadget von Typo3 Blogger.
• Nur geprüfte Extensions bzw. Plugins einsetzen.
• Der PC, mit dem Sie ihre Seiten bearbeiten, muß durch Viren-Scanner, Firewall und Anti-Malware geschützt sein. Und nie als Administartor arbeiten!