Nuestro Joomla Day UK

Seguridad en Joomla!

Muchas veces comenzamos un proyecto sin prestar atención a la seguridad y por eso esta sesión impartida por Anthony Ferrera es de las más importantes a las que asistí el sábado. No obstante, he de reconocer que me esperaba una sesión de técnicas para asegurar nuestros sitios, pero Anthony optó por una perspectiva distinta y a la que muchas veces no prestamos atención: El servidor donde alojamos nuestro sitio.

La frase de esta sesión vino por supuesto de Anthony quien afirmó que: La seguridad web es un concepto Zen: Una vez que uno aprende sobre seguridad web,  se da cuenta de que no existe la seguridad web. Así, tenemos que tener muy presente que si alguien quiere entrar sobre todas las cosas en nuestro sitio, no hay forma de evitarlo. No obstante, en el 99% de las veces, nadie tiene tantos deseos de entrar en nuestros sitios, por lo que manteniendo una política de seguridad adecuada no deberíamos tener problemas.

Teniendo en cuenta la situación real de la seguridad web, tenemos que llegar a un consenso entra la seguridad de nuestros sitios y la facilidad de uso de los mismos ya que, muchas medidas de seguridad complicarán el acceso a nuestros usuarios y redactores.

Así, Anthony nos confirmó algo que los que trabajamos con servidores web ya sabemos: Los servidores web valen lo que cuestan, así pues, un servidor de bajo coste no nos dará un buen soporte de seguridad por lo general. Una de las cosas que más recalcó Anthony fue la necesidad de poder contactar con el servidor rápidamente y con una línea de atención telefónica, ya que puede ser necesaria una actuación rápida para evitar males mayores en nuestros sitios.

En lo que respecta a Joomla! Anthony quiso resaltar que en toda su historia tan sólo se habían reportado dos fallos que propiciaran ataques críticos (aquellos en los que el atacante sin conocer nada del sitio es capaz de romper su seguridad) y fueron corregidos en las dos horas siguientes a su descubrimiento. Anthony resaltó que otros programas privativos (en concreto nombró a un popular sistema operativo con mucha vista) contenían este tipo de fallos y que no se han resuelto desde su publicación

Para terminar nos quedamos con los únicos consejos de la sesión:

• Cambiar el nombre del usuario admin por otro menos genérico
• Proteger el directorio de administración con htaccess (normalmente puede hacerse fácilmente desde el panel de control de nuestro sitio).
• Los servidores virtuales son más complicados de atacar y deberían ser nuestra primera opción a la hora de contratar un servidor
• Siempre debemos buscar servidores que permitan suphp.

La frase de la sesión fue: Un buen servidor no hace tu sitio más seguro, pero un mal servidor lo hará imposible de proteger.