Существуют ли какие-либо специальные меры безопасности, которые необходимо предпринять при развертывании сайта Drupal на рабочем сервере?
Например: я могу представить, что нам нужно удалить install.php из корневого каталога. Есть еще действия?
Или, может быть, доступен модуль, который проверяет сайт на «мировую готовность»?
Отчет о состоянии на http://your-site/admin/reports/status сообщит вам, что-то не так.
На странице администрирования производительности вы можете включить различные параметры кэширования, но протестируйте свой сайт с их включением перед развертыванием.
Существует книга greggles по защите drupal, на которую стоит обратить внимание.
В идеале вы проверили свой код на наличие ненадежности перед развертыванием, но конфигурация часто может быть упущена. Существует режим для анализа вашего сайта Drupal на предмет неправильной настройки, которая может привести к уязвимостям http://drupal.org/project/security_review< /а>
Security Review выполняет следующие проверки:
В дополнение к другим предложениям также удалите update.php.
Я бы также (повторно) переместил /scripts из корневого каталога
Это мелочь, но вы могли бы удалить текстовые файлы в корне дистрибутива, которые пропускают номер версии. Такие как CHANGELOG.txt и т. д.
Я не помню, насколько надежно cron.php защищает себя от флуда. Возможно, вы захотите выяснить, стоит ли ограничивать это только локальным доступом или доступом только к командной строке.
Убедитесь, что файлы .inc обрабатываются PHP.
все эти ответы заставят вас перестать думать после того, как ваша установка будет завершена - но у программного обеспечения есть история, и после установки drupal у вас есть еще один ребенок, за которым нужно следить - в случае с drupal следите ОЧЕНЬ внимательно! Это означает, что вы ДОЛЖНЫ подписаться на список рассылки по безопасности drupal и читать все письма, которые приходят оттуда — будьте готовы получать много писем. Хорошо, что команда drupal быстро предоставляет эту информацию, но грустно, что таких писем действительно слишком много, что может быть связано со стилем программирования drupal. будьте готовы вставать более одного раза среди ночи, чтобы обновить вашу установку drupal, потому что какой-то разработчик расширений никогда не понимал, почему ввод из Интернета должен быть санирован (да, такого рода проблемы с безопасностью все еще случаются в мире drupal .) Таким образом, «укрепление» означает «отслеживание обновлений», в случае с друпалами они приходят довольно часто. Подумайте об этом, если у вас много сайтов и вы хотите выполнить развертывание на нескольких серверах — автоматические файлы deploymemts помогут вам сэкономить много времени.
Вот отличное краткое описание Drupal 7: http://www.madirish.net/242.
Большинство его предложений относятся и к Drupal 6.
Вы также должны удалить параметр восстановления реестра темы.
Он перестраивает реестр вашей темы при каждой загрузке страницы, что делает ваш сайт очень медленным.
