Sicherheitspflichten von Partnern
Diese Seite ist für Partner, die Exponential-Websites bauen, hosten oder pflegen. Laut Partnervertrag gilt: „7x übernimmt keine Gewähr für die von Partnern gelieferten Produkte und Dienstleistungen“ (https://exponential.earth/partner/program). Die Sicherheit der Websites Ihrer Kunden liegt in Ihrer Verantwortung.
Geteilte Verantwortung
| Wer | Verantwortlich für |
|---|---|
| Das Projekt | Sicheren Code im Kernel und seinen Erweiterungen; in Releases veröffentlichte Korrekturen (SECURITY.md) |
| Der Hosting-Partner | Server, PHP, Datenbank, TLS, Netzwerk, Backups (Technische Checkliste für Hosting-Partner) |
| Der Implementierungspartner | Eigenen Code, Konfiguration, gewählte Erweiterungen, eingespielte Updates |
| Der Kunde | Konten und Passwörter seiner Redakteure, Inhalte |
Schreiben Sie die Aufteilung in jeden Vertrag.
Checkliste pro Website
- To do: Gehärtet wie in Sicherheitshärtung und
doc/eng-us/install/13-security-hardening.md - To do: Standard- und gemeinsam genutzte Passwörter geändert (Standardpasswort des Administrators, Das Administratorpasswort ändern)
- To do: Setup-Assistent und Installer-Dateien nicht erreichbar
- To do: Überall TLS; Sicherheits-Header; die Content Security Policy der Administration nicht abgeschwächt
- To do: Debug-Ausgabe im Produktivbetrieb aus
- To do: Zwei-Faktor-Authentifizierung für Administratoren angeboten, wo verfügbar (Konten und Anmeldung)
- To do: Eigener Code auf SQL-Injection, XSS und CSRF geprüft (Sicherheitshärtung)
- To do: Updates nach Zeitplan eingespielt (Kunden-Websites aktuell halten)
- To do: Backups getestet
Zugangsdaten
- Nie in Tickets, Chats, E-Mails oder Git-Repositorys.
- Übergeben Sie Zugangsdaten über einen sicheren Kanal an Kunden; lassen Sie Passwörter bei der ersten Anmeldung ändern.
- Entfernen Sie die Konten ausscheidender Mitarbeitender, auf Ihrer Seite und beim Kunden.
Sicherheitslücken
Melden Sie vertraulich an [email protected]; nie öffentlich (Eskalationen und Sicherheitsprobleme).
Vorfälle
Halten Sie für jeden Kunden einen kurzen Plan bereit:
- Eindämmen: den betroffenen Teil vom Netz nehmen oder den Angriffsweg sperren.
- Sichern: Logs und Kopien für die Analyse aufbewahren.
- Informieren: sofort den Kunden; Behörden, wenn das Gesetz es verlangt.
- Beheben: die Korrektur einspielen, Zugangsdaten wechseln, saubere Backups wiederherstellen.
- Lernen: aufschreiben, was geschehen ist, und den Ablauf ändern.
Verwandte Seiten
- Eskalationen und Sicherheitsprobleme
- Kundendaten schützen
- Sicherheitshärtung
- Freie Dokumentation: Diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.