Sécurité, quel B A BA ?

[YvesfromPaca]

Olé
Je boucle la mise en ligne d'un énième site et compte tenu de ses thématiques sensibles, je m'interroge pour la première fois sur les précautions élémentaires à mettre en oeuvre pour en limiter l'accès aux attaques potentielles.
Pour avoir parcouru la littérature variée de ce sujet sur le forum, je constate que les règles varient selon les personnalités de chacun.
Alors sans tomber dans les clichés (du "risque zéro n'existe pas" à "combien de nuits passées à réparer un site, combien cela vaut-il?"), ni la parano, je suppose qu'il existe une attitude "moyenne" entre le degrés 0 de protection (on touche à rien de ce que propose Joomla dans sa version installée telle quel, y compris le fichier HTACCESS), mon cas actuel,
au degrés ultime (Jsecure et autres solutions payantes...)
Bref,
quelle est le minimum des règles à respecter, afin de ne pas tenter inutilement les hackers et autres bricoleurs?

[jisse03]

Re : Sécurité, quel B A BA ?

Bonjour,

Il existe un minimum bien utile, le couple CrawlProtect/CrawlTrack, qui n'est pas spécifique à Joomla!, mais permet d'assurer une sécurité relativement bonne quel que soit le type de site.

Et surtout penser quand même aux mises à jour Joomla!, composants, modules et plugins, en surveillant régulièrement la liste des extensions vulnérables pour être informé des mises à niveau de sécurité..

[elnikoff]

Re : Sécurité, quel B A BA ?

En plus de cela, je dirais qu'il faut prêter un oeil attentif à la sécurité du poste par lequel on accède à l'administration du site. Si ton accès FTP est compromis, tu peux avoir tout ce que tu veux comme sécurité, si tes accès FTP sont disponibles via une faille de ta machine, ton site est sujet aux attaques...

Ne pas oublier que, en matière de sécurité, c'est le maillon le plus faible qui détermine le niveau de sécurité de l'ensemble...

[kursus]

Re : Sécurité, quel B A BA ?

Et un plugin modifiant l'URL admin tel que Ksecure n'est pas du luxe.

[elnikoff]

Re : Sécurité, quel B A BA ?

Cela ne sert à rien si tu as une politique correcte pour le mot de passe : changer le login admin + mettre un mot de passe sécurisé (j'utilise KeePass pour générer des mots de passe et les stocker en local, protégés par un mot de passe maousse costaud....)

[kursus]

Re : Sécurité, quel B A BA ?

Cela ne sert à rien si tu as une politique correcte pour le mot de passe

Faux, ce sont deux choses complètement différentes, et modifier l'url admin n'est jamais inutile, notamment parce qu'il n'est pas systématiquement nécessaire d'avoir le couple login/password pour pouvoir rentrer dans un système, et aussi pour se prémunir de certains scanners de CMS.

Les portefeuilles de mots de passe sont une sécurité supplémentaires mais loin d'être auto-suffisante (une fois décryptés les mots de passe sont forcément accessibles en clair).