Безопасность¶
В этой главе описаны политики безопасности Grav, порядок сообщения об уязвимостях и статус текущих и прошлых отчётов.
В этом разделе¶
- Обзор — Если вы обнаружили возможную проблему безопасности, связанную с Grav или одним из его расширений, напишите основной команде на contact@getgrav.org, и мы займёмся ей как можно скорее.
- Рекомендуемая конфигурация — Как и для любого другого приложения, важно проверить параметры конфигурации, чтобы защитить и оптимизировать сайт.
- Пользователи — При работе с Grav, с установленной админкой или без неё, есть несколько рекомендаций, которые стоит учитывать. Они касаются того, кто и к чему имеет доступ на вашем сайте, и потенциальных рисков, если не ограничивать эти факторы…
- Разработчики — При создании плагина или темы для Grav важно не только следовать рекомендациям, но и учитывать, не открывает ли ваша работа новых путей атаки для потенциальных злоумышленников. Поскольку Grav — файловая CMS…
- Серверная часть — Защита установки Grav на стороне сервера заключается в разумных настройках сервера и PHP. Это руководство не описывает настройки сервера, на котором работает Grav, и не идеальные условия, а скорее содержит советы и рекомендации по защите Grav или ссылки на материалы о защите сервера.
- Отчёты — GitHub теперь поддерживает уведомления о безопасности для каждого репозитория, поэтому здесь вы найдёте актуальные отчёты и политики. Подробности всегда можно найти в программе CVE от MITRE, а обзор — на CVE Details.
- Доверенный хост для ссылок в письмах — Почему Grav предупреждает, что для писем сброса пароля и активации не настроен доверенный хост, и как исправить это на любом веб-сервере.
- Доступность папки user — Как обнаружить и предотвратить прямой веб-доступ к приватным файлам Grav, отправкам форм, резервным копиям и временным загрузкам.