Drupal - 網站安全

本章將學習如何保護Drupal網站的安全。本章為網站管理員指定安全配置建議，並提醒管理員如何保護網站安全。

許多貢獻模組可以幫助您進行安全配置，其中安全審查模組可以自動測試導致您的網站不安全的錯誤。

• 您可以透過傳送有關問題的電子郵件，直接向Drupal核心、contrib或Drupal.org報告安全問題。安全團隊將在專案維護人員的幫助下幫助解決您的問題。

• 透過配置伺服器檔案系統來保護您的檔案許可權和所有權，因為Web伺服器（例如Apache）不應具有編輯或寫入檔案的許可權。它應該是只讀檔案，稍後執行。

• 安全風險級別基於NIST通用誤用評分系統 (NISTIR 7864)，以便組織可以驗證如何管理問題。以下是幫助您透過分配0到25之間的數字來了解安全風險級別的要點：

  • 0到4 - 不關鍵。

  • 5到9 - 較不關鍵。

  • 10到14 - 中等關鍵。

  • 15到19 - 關鍵

  • 20到25 - 高度關鍵。

• 在接受信用卡號碼等敏感資訊時，PCI（支付卡行業）定義了許多資料安全標準。雖然這不是Drupal特有的，但對於每個Drupal開發人員來說，瞭解這一點很重要。要了解有關PCI問題的更多資訊，您可以參考此連結Drupal PCI合規白皮書。

• 允許刪除使用者，甚至允許使用者自己刪除Drupal網站上的使用者帳戶，這有時會導致意外情況。

• 啟用HTTPS，這對於將敏感資訊傳送到網站更安全，例如：

  • 信用卡

  • 敏感Cookie，例如PHP會話Cookie

  • 密碼和使用者名稱

  • 可識別資訊（社會安全號碼、州ID號碼等）

  • 機密內容

• 使用貢獻的模組增強您的安全性。一些標準模組類別是：

• 安全類別

• 使用者訪問/身份驗證

• 垃圾郵件預防模組

• 您可以透過安裝安全許可權模組來停用使用者的角色和許可權。

• 透過安裝登入安全模組，可以改進登入操作中的安全操作。

• 網站管理員可以透過將其設為私有並透過角色限制對使用者的訪問來保護其網站。由於此過程，您的網站將無法被搜尋引擎和其他爬蟲訪問（以建立www中的資料索引）。