Seguridad¶
La seguridad depende del servidor web, PHP, base de datos, configuración MRBS y proveedor de identidad.
Mantener el software¶
MRBS 1.12.2 contiene correcciones, incluidas protecciones contra redirecciones abiertas y falsificación de solicitudes del servidor. Vigile versiones y avisos posteriores; 1.12.2 no será actual para siempre.
Mantenga PHP, base, servidor y sistema operativo dentro de sus ciclos de soporte.
Proteger configuración y transporte¶
- Servir MRBS mediante HTTPS.
- Restringir
config.inc.php. - No versionar credenciales de base, SMTP, LDAP o API.
- Verificar pares y nombres TLS.
- Rotar credenciales tras una posible exposición.
Privilegios de base¶
Use una cuenta de ejecución dedicada con los permisos imprescindibles. Cuando sea práctico, use otra cuenta para cambios de esquema durante actualizaciones.
Las copias contienen datos de reservas y usuarios y requieren la misma protección que producción.
Acceso público¶
Revise explícitamente la vista sin sesión:
- detalles de reservas;
- reservas privadas;
- búsqueda e informes públicos;
- modo quiosco;
- exportaciones; y
- nombres de inscritos.
Use $auth['deny_public_access'] si todo acceso debe requerir sesión.
Archivos de instalación¶
No exponga herramientas de prueba, scripts SQL, copias, registros ni copias de
configuración. testdata.php es solo para pruebas y no debe ser público.
Registro¶
Registre errores sin credenciales ni contenido privado. Mantenga desactivado el registro de credenciales:
Revisión periódica¶
Revise:
- cuentas administrativas;
- contactos de áreas y salas;
- claves de informes públicos;
- secretos del proveedor de identidad;
- restauración de copias;
- dependencias y versiones; y
- registros web y de aplicación.