{"id":3115,"date":"2014-01-28T11:49:08","date_gmt":"2014-01-28T13:49:08","guid":{"rendered":"http:\/\/blog.turbosite.com.br\/?p=3115"},"modified":"2014-01-28T11:49:08","modified_gmt":"2014-01-28T13:49:08","slug":"boas-praticas-de-seguranca-para-seu-website-joomla","status":"publish","type":"post","link":"https:\/\/www.turbosite.com.br\/blog\/boas-praticas-de-seguranca-para-seu-website-joomla\/","title":{"rendered":"Boas pr\u00e1ticas de seguran\u00e7a para seu website Joomla!"},"content":{"rendered":"

Este artigo da s\u00e9rie Seguran\u00e7a e Joomla! do Joomla! Bras\u00edlia<\/a> \u00e9 uma adapta\u00e7\u00e3o ao original postado no website http:\/\/www.torkiljohnsen.com.<\/p>\n

1. Siga as suas melhores pr\u00e1ticas<\/span><\/p>\n

Caso voc\u00ea j\u00e1 tenha criado um website e tenha tomado medidas de seguran\u00e7as b\u00e1sicas, como instala\u00e7\u00e3o de extens\u00f5es de seguran\u00e7a (Jupdateman JSecure), n\u00e3o h\u00e1 necessidade de reinventar a roda: Use uma ferramenta de backup como Akeeba Backup ou algo semelhante, fa\u00e7a um backup do website e use esse backup como um ponto de partida para o seu novo website. Ou seja, mantenha uma instala\u00e7\u00e3o b\u00e1sica padr\u00e3o para todos os seus projetos.<\/p>\n

2. N\u00e3o use o prefixo jos_ como padr\u00e3o das tabelas do Banco de Dados.<\/span><\/p>\n

Muitos ataques de inje\u00e7\u00e3o SQL s\u00e3o baseados na suposi\u00e7\u00e3o de que as tabelas de seu banco de dados s\u00e3o denominados “jos_”. Caso voc\u00ea tenha optado por usar o padr\u00e3o “jos_”, ele poder\u00e1 ser mudado com um simples script PHP.<\/p>\n

3. Um usu\u00e1rio de banco de dados por instala\u00e7\u00e3o<\/span><\/p>\n

N\u00e3o use um mesmo usu\u00e1rio para v\u00e1rios banco de dados e nunca use root como usu\u00e1rio de conex\u00e3o. Geralmente o usu\u00e1rio de conex\u00e3o ao banco e o nome do banco, s\u00e3o baseados no nome de seu dom\u00ednio. Mas isto vai depender do provedor de hospedagem.<\/p>\n

4. Considere uma senha forte para a conex\u00e3o ao banco de dados<\/span><\/p>\n

Use uma senha longa e complicada para o acesso ao seu banco de dados. Hoje em dia \u00e9 muito f\u00e1cil de decifrar um hash MD5, base de encripta\u00e7\u00e3o utilizada pelo Joomla (j\u00e1 foi quebrado) ou SHA1. Inclusive existem aplica\u00e7\u00f5es web que ajudam nesse processo. Se algu\u00e9m come\u00e7ar a tentar quebrar a senha de acesso ao banco de dados, por for\u00e7a bruta por exemplo, \u00e9 s\u00f3 quest\u00e3o de tempo at\u00e9 obter o sucesso. Uma boa forma de criar senhas fortes \u00e9 utilizar caracteres alfanum\u00e9ricos e caracteres especiais como @ # $ e etc…<\/p>\n

5. N\u00e3o instale o exemplo de conte\u00fado<\/span><\/p>\n

O exemplo de conte\u00fado server para que voc\u00ea se familiarize com o Joomla. Em produ\u00e7\u00e3o, voc\u00ea n\u00e3o deve utiliz\u00e1-los tendo em vista que s\u00e3o f\u00e1ceis de serem identificados pelos “exploits”. Al\u00e9m disso, voc\u00ea pode se esquecer de remover totalmente o conte\u00fado de exemplo.<\/p>\n

6. Desinstalar coisas que voc\u00ea n\u00e3o precisa<\/span><\/p>\n

Desinstale todas as extens\u00f5es que voc\u00ea n\u00e3o ir\u00e1 utilizar em seu projeto. Desde os componentes do n\u00facleo do Joomla at\u00e9 os templates que est\u00e3o sobrando. Observe, por exemplo, que ao instalar o editor JCE voc\u00ea estar\u00e1 reinstalando o editor WYSIWYG TinyMCE, pois ele funciona encapsulado no JCE. Joomla vem com o editor TinyMCE instalado como editor padr\u00e3o, ent\u00e3o voc\u00ea ter\u00e1 duas instala\u00e7\u00f5es TinyMCE. Eu particularmente sempre usei o TinYMCE e ele sempre deu conta do recado nesses 07 (sete) anos de uso do CMS.<\/p>\n

7. Desativar o registro \/ login<\/span><\/p>\n

Se o seu website n\u00e3o ter\u00e1 conte\u00fado restrito ou cadastro de usu\u00e1rios, desabilite o m\u00f3dulo Login form<\/p>\n

8. Desativar XML-RPC<\/span><\/p>\n

Desative o XML-RPC do servidor se voc\u00ea n\u00e3o precisa dele.<\/p>\n

9. Devo remover a tag generator do Joomla?<\/span><\/p>\n

Apesar de no artigo original ser indicado a retirada, eu discordo, pois al\u00e9m de ser um “hacking” no c\u00f3digo-fonte fere a GNU\/GPL no sentido de estarem sendo retirados os cr\u00e9ditos ao programa gerador, no caso, o Joomla!<\/p>\n

10. Substitua o padr\u00e3o de informa\u00e7\u00e3o meta Joomla com seus pr\u00f3prios dados<\/span><\/p>\n

Em sua configura\u00e7\u00e3o global, certifique-se de substituir os metadados padr\u00e3o. Mais do que seguran\u00e7a este fato ir\u00e1 incidir diretamente em suas m\u00e9tricas de Google Marketing, ou seja: Encontrabilidade.<\/p>\n

11. Excluir a conta de usu\u00e1rio padr\u00e3o<\/span><\/p>\n

O userid 62 e o nome de usu\u00e1rio “admin” presentes na tabela #__users, representa uma fraqueza e devem ser substitu\u00eddos imediatamente ap\u00f3s a publica\u00e7\u00e3o do website na Internet. Para tal, acesse o backend e crie um novo usu\u00e1rio com perfil de superadministrador. Depois, fa\u00e7a o login com o novo usu\u00e1rio e exclua o antigo admin. Lembre-se que o admin \u00e9 o primeiro usu\u00e1rio a morrer em qualquer sistema.<\/p>\n

12. Ativar o (.htaccess)<\/span><\/p>\n

O htaccess.txt est\u00e1 na raiz do seu website joomla e deve ser renomeado para (.htaccess). Por\u00e9m, alguns fatores devem ser observados:
\na) o (.) antes de um nome de arquivo, significa que o arquivo \u00e9 um arquivo oculto do GNU\/LINUX. Logo, n\u00e3o ir\u00e1 funcionar o Ruindows.
\nb) o (.htaccess) \u00e9 um arquivo extremamente perigoso e alguns provedores simplesmente n\u00e3o permitem o envio do mesmo, ou durante a atualiza\u00e7\u00e3o do apache, passam a restringir seu uso.<\/p>\n

13.Use url’s amig\u00e1veis<\/span><\/p>\n

Muitos “exploits” funcionam baseados em sniffs de robots atrav\u00e9s das URLs din\u00e2micas do Joomla!. Por exemplo, digamos que o componente (com_algumacoisa) foi invadido e voc\u00ea est\u00e1 usando o mesmo em seu website. O “exploit” ir\u00e1 buscar por com_algumacoisa em sua url e uma vez achado, ir\u00e1 explorar as vulnerabilidades do mesmo para invadir seu website. O uso de Url’s amig\u00e1veis al\u00e9m de ajudar sobremaneira na indexa\u00e7\u00e3o de seu website pelo google \u00e9 uma excelente pr\u00e1tica de seguran\u00e7a.<\/p>\n

14. Mover logs e cache para fora da raiz do website<\/span><\/p>\n

Uma boa pr\u00e1tica \u00e9 alterar o caminho do log e cache do seu website para um diret\u00f3rio fora da raiz, evitando o acesso via browser.<\/p>\n

15. Criptografar a comunica\u00e7\u00e3o, ou pelo menos o login<\/span><\/p>\n

Dependendo do provedor voc\u00ea poder\u00e1 acessar o backend do seu website via https, ou seja, usando criptografia. Uma boa alternativa para os que desejarem abstrair a solu\u00e7\u00e3o do provedor \u00e9 usar o componente Encrypt configuration.<\/p>\n

16. Inscreva-se no canal de not\u00edcias de seguran\u00e7a do Joomla<\/span><\/p>\n

http:\/\/feeds.joomla.org\/JoomlaSecurityNews.<\/p>\n

17. Instale os patches de seguran\u00e7a imediatamente<\/span><\/p>\n

Quando for lan\u00e7ado um patch de seguran\u00e7a ou uma nova vers\u00e3o stable do CMS atualize o seu website imediatamente. Existe uma boa extens\u00e3o para isso \u00e9 Jupdateman.<\/p>\n

18. Fa\u00e7a Backup de seu website regularmente<\/span><\/p>\n

Se o provedor n\u00e3o faz backup para voc\u00ea, inclua uma rotina em seu projeto. Para provedores que permitem acesso via ssl voc\u00ea pode agendar o backup no cron do servidor. N\u00e3o \u00e9 poss\u00edvel? Use o Akeeba que \u00e9 uma excelente extens\u00e3o para backup. Inclusive, a vers\u00e3o paga possibilita o agendamento dos mesmos.<\/p>\n

19. Proteja o \/administrador com medidas extras<\/span><\/p>\n

Encapsule o \/administrator de seu website usando um simples plugin de seguran\u00e7a como o JSecure. 70% das tentativas de ataque ser\u00e3o barradas pelo simples fato de n\u00e3o ser encontrado o \/administrator de seu website.<\/p>\n

20. D\u00ea as permiss\u00f5es corretas para arquivos e diret\u00f3rios<\/span><\/p>\n

A permiss\u00e3o dos diret\u00f3rios de seu website devem estar com 0755 e os arquivos com 0644. Nunca, jamais, em hip\u00f3tese alguma use 0777. Leia este artigo caso tenha d\u00favida em rela\u00e7\u00e3o a permiss\u00e3o de diret\u00f3rios e arquivos no GNU\/LINUX.<\/p>\n

21. Considere a instala\u00e7\u00e3o de extens\u00f5es de seguran\u00e7a<\/span><\/p>\n

Existem v\u00e1rias extens\u00f5es voltadas a implementa\u00e7\u00e3o de seguran\u00e7a em seu website Joomla. Visite o JED, identifique-as e fa\u00e7a os devidos testes. Neste artigo j\u00e1 indiquei as que penso serem fundamentais: Akeeba, JSecure, Jpudateman e Configuration Ecnrypt<\/p>\n

22. Evite expor informa\u00e7\u00f5es<\/span><\/p>\n

Desabilite o relat\u00f3rio de erros no backend do Joomla, escolhendo a op\u00e7\u00e3o Nenhuma para relat\u00f3rios de erros nas configura\u00e7\u00f5es globais. \u00c9 interessante que a diretiva display_errors do php tamb\u00e9m esteja desabilitada. Mas, lembre-se que dependendo do contexto o display_errors deve estar habilitado. Por exemplo: voc\u00ea instala um m\u00f3dulo e ele d\u00e1 pau. Com o display_errors desabilitado voc\u00ea ver\u00e1 apenas uma p\u00e1gina em branco.
\nEsta diretiva fica no php.ini e voc\u00ea n\u00e3o ter\u00e1 acesso no servidor. O m\u00e1ximo que poder\u00e1 fazer \u00e9 criar uma flag no seu arquivo (.htaccess) alterando o padr\u00e3o de ON para OFF.<\/p>\n

23. Adicionar uma solu\u00e7\u00e3o de ACL personalizada<\/span><\/p>\n

O ACL padr\u00e3o do Joomla n\u00e3o \u00e9 muito restritivo e voc\u00ea pode estar dando mais privil\u00e9gios de acesso do que gostaria. Considere a adi\u00e7\u00e3o de uma extens\u00e3o para melhorar a ACL, por exemplo o NoixAcl.<\/p>\n

24. Evite extens\u00f5es com c\u00f3digo fonte criptografado<\/span><\/p>\n

Voc\u00ea n\u00e3o pode corrigir erros no c\u00f3digo fonte se ele estiver criptografado, al\u00e9m de voc\u00ea ficar \u00e0 merc\u00ea do desenvolvedor da extens\u00e3o. A regra \u00e9 simples: em software liver encontramos extens\u00f5es livres e gratuitas, livres e pagas ou comerciais e pagas. N\u00e3o existe extens\u00e3o mais ou menos livre disponibilizada com c\u00f3digo-fonte criptografado, simplesmente n\u00e3o use.<\/p>\n

25. Evite extens\u00f5es legadas<\/span><\/p>\n

N\u00e3o utilize extens\u00f5es que n\u00e3o foram desenvolvidas nativamente para Joomla!1.5. Joomla!1.0 acabou em julho do ano passado e todos j\u00e1 tiveram tempo suficiente para desenvolver dentro dos padr\u00f5es do novo framework.<\/p>\n

26. Evite extens\u00f5es inseguras<\/span><\/p>\n

Quando voc\u00ea instala qualquer extens\u00e3o no Joomla! voc\u00ea perde a garantia do CMS. Ou seja, a vers\u00e3o stable \u00e9 liberada com as extens\u00f5es que fazem parte do seu n\u00facleo. Por exemplo: n\u00e3o existe \u00e1lbum de fotos em uma instala\u00e7\u00e3o padr\u00e3o do Joomla, logo, quando voc\u00ea instala um componente de galeria de imagens voc\u00ea o faz por sua conta e risco.
\nLembre-se que todo componente cria automaticamente um objeto de banco de dados e passa a ser uma c\u00e9lula viva dentro de seu website, muitas vezes com seu pr\u00f3prio painel de controle. Ent\u00e3o, muito cuidado com o que est\u00e1 instalando em seu website joomla ok? D\u00ea prefer\u00eancia a extens\u00f5es populares e que tenham os projetos continuados e atuais e sempres consulte a lista de vulnerabilidades antes de instalar qualquer coisa em seu website.<\/p>\n

27. Use uma IDE<\/span><\/p>\n

IDEs podem ajudar bastante com a qualidade do c\u00f3digo, desenvolvimento e testes. Para windows indico o Aptana com plugin php e para GNU\/LINUX indico o bluefish, ali\u00e1s, o que eu uso.<\/p>\n

28. Use um sistema de controle de vers\u00e3o<\/span><\/p>\n

Coisas como o SVN e Git ser\u00e3o um salva-vidas para voc\u00ea caso algo tenha sido alterado ou retirado sem o seu conhecimento. Tamb\u00e9m torna mais f\u00e1cil de manter e implantar diferentes vers\u00f5es do seu software. Utilize vers\u00e3o, mesmo que voc\u00ea seja o \u00fanico a fazer o desenvolvimento, vale a pena.<\/p>\n

29.Teste localmente, antes de colocar em produ\u00e7\u00e3o na web<\/span><\/p>\n

Busque um ambiente de teste e desenvolvimento pr\u00f3ximo do ambiente de produ\u00e7\u00e3o. De prefer\u00eancia use GNU\/LINUX sempre pois ficar\u00e1 bem pr\u00f3ximo do ambiente do provedor. Mas se n\u00e3o der, opte pelo Xampp que \u00e9 o melhor SDK para windows em mnha opini\u00e3o. Erros n\u00e3o devem aparecer em websites em produ\u00e7\u00e3o, cuidado com as p\u00e1ginas 404 e nunca, mas nunca mesmo deixe uma p\u00e1gina em seu website com o dizer: em constru\u00e7\u00e3o.<\/p>\n

30. Use CSRF para prote\u00e7\u00e3o de formul\u00e1rios<\/span><\/p>\n

http:\/\/docs.joomla.org\/How_to_add_CSRF_anti-spoofing_to_forms<\/p>\n

31. Filtrar dados<\/span><\/p>\n

Filtrar a entrada e sa\u00edda do conte\u00fado fornecido pelo usu\u00e1rio, \u00e9 muito \u00fatil para evitar ataques de SQL injection e XSS.
\nEx: http:\/\/docs.joomla.org\/Tutorial:How_to_make_your_Joomla_addon_more_secure_WIP<\/p>\n

32. Mantenha o seu c\u00f3digo-fonte enxuto<\/span><\/p>\n

A reutiliza\u00e7\u00e3o de c\u00f3digo \u00e9 uma caracter\u00edstica da OOP, ent\u00e3o reutilize o c\u00f3digo ao m\u00e1ximo e evite tentar reinventar a roda. Cuidado com a short tag do php pois voc\u00ea poder\u00e1 ter problemas caso esteja desabilitada no servidor. Logo, comece suas linhas de c\u00f3digo com (\n

33. Use um Framework para desenvolver suas extens\u00f5es<\/span><\/p>\n

Se voc\u00ea est\u00e1 criando uma extens\u00e3o do Joomla, voc\u00ea deve considerar o uso do framework Nooku, ou o alphaplug, que s\u00e3o duas solu\u00e7\u00f5es interessantes que ajudam na redu\u00e7\u00e3o do c\u00f3digo e na rapidez do desenvolvimento.<\/p>\n

34. Nenhum c\u00f3digo execut\u00e1vel em arquivos de classe<\/span><\/p>\n

Nunca deixe um c\u00f3digo execut\u00e1vel em seus arquivos de classe.<\/p>\n

35. Use _JEXEC<\/span><\/p>\n

A primeira linha execut\u00e1vel de qualquer script php no Joomla, seja um componente, m\u00f3dulo, plugin ou template, \u00e9 a constante _JEXEC. Ela garante que o c\u00f3digo ser\u00e1 executado apenas pela aplica\u00e7\u00e3o. Fa\u00e7a um teste r\u00e1pido e assustador:
\na) abra a index.php de qualquer template e comente a linha J_EXEC or die restrict access. Como? Basta colocar \/\/ no in\u00edcio dela;
\nb) agora digite em seu navegador a url de seusite\/templates\/onomedotemplatedoseusite Executou? Voc\u00ea acabou de abrir um backdoor em seu website. Sinistro n\u00e3o? Corra e retire o \/\/ e tente o mesmo macete. Resultado? Restrict access.<\/p>\n

36. Mantenha nomes e vers\u00f5es escondidas<\/span><\/p>\n

Mostrar os cr\u00e9ditos dos componente em sua frontpage al\u00e9m de perigoso, se as mesmas est\u00e3o desatualizadas, vai contra a usabilidade. Seu website est\u00e1 sob o dom\u00ednio .com.br? Ent\u00e3o deve estar em portugu\u00eas. Nada de powered by Phoca Gallery e etc…ok?<\/p>\n

36. A escolha do provedor para seu website<\/span><\/p>\n

Este um cap\u00edtulo a parte j\u00e1 que temos “N” bons provedores e outros p\u00e9ssimos, pelo mundo afora. Fica a minha dica na hora de escolher o provedor:
\na) fuja dos que oferecem muitas vantagens por um pre\u00e7o irris\u00f3rio;
\nb) fique atento com a vers\u00e3o do LAMP (LINUX, APACHE, MYSQL e PHP) utilizados pelo provedor. Lembre-se que eles s\u00e3o a base do funcionamento de seu website Joomla! Qualquer software desatualizado aumentar\u00e1 sobremaneira as possibilidades de uma invas\u00e3o e da\u00ed, n\u00e3o tem vers\u00e3o stable nem reza brava que de jeito; e
\nc) por fim, lembre-se que o provedor s\u00f3 quer vender. Uma vez invadido ele vai tirar seu website do ar e vai dizer que a culpa \u00e9 do programa vagabundo que voc\u00ea usou. Lembra-se? O Joomla! Apesar de 90% das invas\u00f5es serem por falhas na hospedagem eles nunca ir\u00e3o concordar e a menos que voc\u00ea tenha recursos para provar a vulnerabilidades deles, recursos esses que n\u00e3o fazem parte do escopo deste artigo, Game Over para voc\u00ea.<\/p>\n

37. Acompanhe sempre a lista de extens\u00f5es vulner\u00e1veis<\/span><\/p>\n

Fonte: www.torkiljohnsen.com\/2010\/09\/18\/collection-of-joomla-security-tips\/
\nTradu\u00e7\u00e3o e adapta\u00e7\u00e3o: J\u00falio Coutinho (www.joomlabrasilia.org\/tutoriais-de-joomla\/seguranca-e-joomla\/648.html) <\/p>\n","protected":false},"excerpt":{"rendered":"

O Joomla \u00e9 o principal gerenciador de conte\u00fado do mercado e permite que pessoas sem conhecimento t\u00e9cnico possam criar e gerenciar sites de maneira simples e pr\u00e1tica. Com ele voc\u00ea cria sites din\u00e2micos sem saber programar e aprenda boas pr\u00e1ticas para o seu site assuma as primeiras posi\u00e7\u00f5es do Google.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6,7,8,12,25,26,27],"tags":[85,119,140,203,326,355,564,621],"class_list":["post-3115","post","type-post","status-publish","format-standard","hentry","category-dicas","category-dominio","category-e-commerce","category-hospedagem-de-sites","category-seguranca","category-seo","category-sustentabilidade","tag-blog","tag-como-fazer-sites","tag-construcao-de-sites","tag-e-commerce","tag-hospedagem-de-sites","tag-internet-2","tag-seguranca","tag-turbosite"],"_links":{"self":[{"href":"https:\/\/www.turbosite.com.br\/blog\/wp-json\/wp\/v2\/posts\/3115","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.turbosite.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.turbosite.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.turbosite.com.br\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.turbosite.com.br\/blog\/wp-json\/wp\/v2\/comments?post=3115"}],"version-history":[{"count":0,"href":"https:\/\/www.turbosite.com.br\/blog\/wp-json\/wp\/v2\/posts\/3115\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.turbosite.com.br\/blog\/wp-json\/wp\/v2\/media?parent=3115"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.turbosite.com.br\/blog\/wp-json\/wp\/v2\/categories?post=3115"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.turbosite.com.br\/blog\/wp-json\/wp\/v2\/tags?post=3115"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}