Sicherheit für Hoster: Überblick
Dieser Bereich ist für die Sicherheitsverantwortlichen, die Systemadministratoren und die Produktmanager eines Hosting-Anbieters, der Exponential-Websites für Kunden betreibt. Er beantwortet zwei Fragen: was Exponential bereits von selbst tut, und was der Teil der Arbeit des Hosters auf dem Server, im Panel und im Vertrag ist.
Warnung
.htaccessbremst jede Anfrage. Sind.htaccess-Dateien erlaubt (AllowOverridealles außerNone), geschweige denn genutzt, sucht Apache sie bei jeder Anfrage in jedem Verzeichnis des Pfads und liest und wertet sie aus, und die Ladezeiten der Seiten steigen drastisch (gemessen). Die einzige wirkliche Abhilfe ist, die Funktion für den virtuellen Host abzuschalten:AllowOverride Noneim virtuellen HTTPS-Host, und die Regeln in der Konfiguration des virtuellen Hosts selbst als mod_rewrite-Regeln. Das ist in Geschwindigkeitstests im Produktivbetrieb weit schneller und die Zeit für die Optimierung einer Produktivkonfiguration unbedingt wert. Stellen Sie sofort um: Übernehmen Sie die Regeln des Beispiels für einen virtuellen HTTPS-Host in Ihren virtuellen Host (mit dem statischen Cache auchstaticcache_offload.conf), setzen SieAllowOverride None, führen Sieapachectl configtestaus, laden Sie Apache neu und testen Sie die Website. Dieselben Regeln für andere Server: nginx, LiteSpeed, Caddy, IIS, Velocity (eingebaut); wohin Regeln für virtuelle Hosts in einem Control Panel gehören: Plesk, cPanel, DirectAdmin, ISPConfig. Unter LiteSpeed oder OpenLiteSpeed kann zusätzlich der Seiten-Cache des Servers anonyme Besucher und Crawler ohne PHP bedienen: Seiten-Caching mit LiteSpeed und OpenLiteSpeed.
Exponential 6 ist so gebaut, dass es standardmäßig sicher ist: Eine frische Installation liefert nur eine feste Liste von Dateien aus, sendet Sicherheitsheader, hält die Debug-Ausgabe aus, schützt Formulare mit Tokens, hasht Passwörter mit bcrypt, führt ein manipulationssichtbares Prüfprotokoll und weigert sich, seinen Setup-Assistenten auf einer installierten Website auszuführen. Die Begründung hinter jedem Standard steht auf Sicherheitshärtung, und die Referenz Einstellung für Einstellung ist Kapitel 13 des Installationsbuchs. Die Seiten hier nehmen die Sicht des Hosters ein: viele Websites, viele Kunden, ein Team.
Zurück zu Hosting-Anbieter: hier beginnen.
Inhalt
Seiten in diesem Bereich
| Seite | Was sie beantwortet |
|---|---|
| Härtung für Hoster | die Härtung, die ein Hoster auf jede Exponential-Website anwendet, Schicht für Schicht |
| TLS und HTTPS | HTTPS auf jedem Namen, HSTS, sichere Cookies und Proxys, die TLS beenden |
| Content Security Policy | die mitgelieferte Richtlinie im Berichtsmodus, die Meldungen und das Umstellen eines Siteaccess auf Durchsetzung |
| request-shield und Request-Regeln | die Firewall vor dem Kernel, der Request-Klassifizierer des Kernels und seine Request-Regeln |
| Die Administration einschränken | ein eigener Hostname, Einschränkungen im Netzwerk, geringste Rechte und ManagedByDeployment |
| Erste Anmeldung und Standardpasswörter | was jeder Installer als Administratorpasswort setzt und was ein Hoster nach der Bereitstellung tut |
| Demomodus für Hoster | eine öffentliche Demo mit EXP_DEMO_MODE=1 betreiben und sie von jeder Produktions-Website fernhalten |
| Zweistufige Anmeldung | die Erweiterung sevenx_authentication_2fa: einschalten, verlangen, verlorene Telefone |
| Prüfprotokoll | was festgehalten wird, die Hash-Kette prüfen, Alarme, Senken und Schlüssel |
| Sicherheitsupdates und Offenlegung | unterstützte Versionen, Releases verfolgen, aktualisieren und wie Sie eine Schwachstelle melden |
| Trennung von Mandanten | wie weit die Website eines Kunden von der eines anderen getrennt ist und welche Einrichtung welche Grenze gibt |
| Benutzer und Pools pro Kunde | ein Benutzer des Betriebssystems, ein PHP-FPM-Pool oder eine Velocity-Instanz, ein Datenbankbenutzer pro Kunde |
| Compliance und DSGVO | was die Software für Datenschutz und E-Mail-Recht bereitstellt und was bei Hoster und Kunde bleibt |
| Aufbewahrung von Logs und Daten | wie lange jedes Log und jede Aufzeichnung behalten wird und die Einstellungen, die das ändern |
Wer was tut
Sicherheit wird zwischen der Software, dem Hoster und dem Kunden geteilt. Eine klare Aufteilung vermeidet Lücken, von denen jede Seite annimmt, die andere decke sie ab.
| Bereich | Exponential stellt bereit | Der Hoster stellt bereit | Der Kunde entscheidet |
|---|---|---|---|
| Ausgelieferte Dateien | die Rewrite-Regeln aus .htaccess_root und die Liste von Velocity; exp:setup:htaccess, um sie zu kopieren und Abweichungen zu zeigen | eine Konfiguration des Webservers, die sie einhält | nichts, es sei denn, er bringt eigene Regeln mit |
config.php | exp:config:* mit maskierten Geheimnissen, Sicherungen und einer Prüfung mit php -l | Modus 0640, außerhalb der Versionsverwaltung, var/backup/ geschützt und aufgeräumt | die Werte, die seine Website braucht |
| Transport | HSTS und Zertifikatsverwaltung in Velocity; sichere Cookies | Zertifikate, Erneuerung, Umleitungen, die Stelle, die TLS beendet | welche Hostnamen es gibt |
| Konten | bcrypt-Hashes, Passwortregeln, die Prüfung auf schwache Passwörter, zweistufige Anmeldung | einen Ablauf der Bereitstellung, der nie ein bekanntes Passwort hinterlässt | wer welche Rolle bekommt |
| Abschottung | nichts zwischen Installationen: das ist Aufgabe des Betriebssystems | ein Benutzer, ein Pool, ein Datenbankbenutzer pro Kunde | nichts |
| Protokollierung | security.log, auth.log, csp.log, das Prüfprotokoll mit Hash-Ketten | Speicherplatz, Weiterleitung von der Maschine, Aufbewahrung in Backups | Aufbewahrungswerte, die seine Datenschutzerklärung nennt |
| Updates | unveränderliche Releases, Changelogs, die Upgrade-Prüfung | eine Routine, die sie einspielt | Freigabe eines Wartungsfensters, wo der Vertrag es verlangt |
Hinweis Diese Aufteilung ist ein Ausgangspunkt für Ihre eigene Leistungsbeschreibung, keine Aussage darüber, was ein Vertrag sagen muss. Tarife, SLAs und Support-Stufen sind Optionen, die ein Hoster wählt; siehe Das Hosting-Geschäft.
Wo Sie beginnen
Für einen Hoster, der sein erstes Angebot für Exponential einrichtet:
- Lesen Sie Härtung für Hoster und machen Sie daraus Ihre Server-Vorlage.
- Entscheiden Sie das Modell der Abschottung mit Trennung von Mandanten und Benutzer und Pools pro Kunde.
- Machen Sie die Bereitstellung sicher: Erste Anmeldung und Standardpasswörter.
- Machen Sie das Beobachten möglich: Prüfprotokoll und das Sicherheitslog.
- Schreiben Sie die Routine für Updates: Sicherheitsupdates und Offenlegung.
- Vor dem Go-Live und jedes Quartal gehen Sie die Checkliste für die Sicherheitsprüfung durch.
Wenn bereits etwas schiefgegangen ist, ist das Runbook Kompromittierte Website die Seite, die Sie öffnen.
Verwandte Seiten
- Hosting-Anbieter: hier beginnen
- Sicherheitshärtung
- Kapitel 13: Sicherheitshärtung für die Produktion
- Checkliste für die Sicherheitsprüfung
- Kompromittierte Website
- .htaccess und config.php von der Konsole einrichten
- Freie Dokumentation: Diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.
Werden Sie Exponential-Partner
Partner teilen ihre Informationen, stellen Mittel bereit, geben Beiträge zurück und entwickeln die Produkte mit uns, und so wächst Exponential. Eine Partner-Website und ein Dashboard sind für Mitte 2027 geplant: Werden Sie noch heute Partner, damit wir schneller wachsen und neue Funktionen früher liefern.