Seguretat¶
La seguretat depèn del servidor web, de PHP, de la base de dades, de la configuració d'MRBS i del proveïdor d'identitat seleccionat.
Mantenir el programari actualitzat¶
MRBS 1.12.2 conté solucions de seguretat, incloses les proteccions contra les redireccions obertes i la falsificació de sol·licituds del servidor. Superviseu les versions posteriors i els avisos de seguretat en lloc de tractar l'1.12.2 com a actual permanent.
Mantingueu PHP, la base de dades, el servidor web i el sistema operatiu dins dels cicles de vida dels proveïdors compatibles.
Protegir la configuració i el transport¶
- Serviu MRBS mitjançant HTTPS.
- Restringiu l'accés a
config.inc.php. - Manteniu les credencials de base de dades, SMTP, LDAP i API fora del control de fonts.
- Verifiqueu els iguals i els noms d'amfitrió de TLS.
- Renoveu les credencials si sospiteu que han quedat exposades.
Privilegis de la base de dades¶
Utilitzeu un compte de base de dades de temps d'execució dedicat. Concediu només els privilegis que requereix l'aplicació. Utilitzeu un compte de canvi d'esquema independent per a les actualitzacions quan sigui pràctic operacionalment.
Les còpies de seguretat contenen dades de reserva i d'usuari i requereixen la mateixa protecció que la base de dades de producció.
Accés públic¶
Reviseu el comportament tancat de manera explícita:
- visibilitat dels detalls de la reserva;
- reserves privades;
- recerca i informes públics;
- mode quiosc;
- exportacions de calendari; i
- noms de registre.
Utilitzeu $auth['deny_public_access'] quan tot accés hagi de requerir una sessió iniciada.
Fitxers d'instal·lació¶
No exposeu mitjançant el servidor web utilitats de prova, scripts SQL, còpies de seguretat, registres ni còpies de la configuració. Els fitxers com testdata.php són només per a proves i no han de quedar accessibles públicament.
Enregistrament¶
Registreu els errors operatius sense credencials ni contingut de reserva privada. El registre de credencials està desactivat per defecte i hauria de romandre desactivat:
Revisió de rutina¶
Reviseu periòdicament:
- comptes d'administrador;
- contactes dels administradors d'àrea i d'aula;
- claus d'informe públic;
- secrets del proveïdor d'identitat;
- restauració de còpies de seguretat;
- dependències i actualitzacions de llançament; i
- registres web i d'aplicacions per a un accés inesperat.