Безопасная CMS?

[parmactep]

bas, У меня все просто. Я работаю со своим самописом в основном)))
А так вордпрес меня вполне устраивает во многих аспектах.

[remind4me]

Касательно Joomla может кто знает какие хитрости увеличивающие стандартную безопасность системы.

Большинство CMS-ных сайтов взламывают, а точнее влезают в них, благодаря "пробиванию" логинов (ник/пароль).
Для усиления защиты можно, и даже нужно, как минимум изменять метод входа, особенно в админку, а именно:

+ изменить стандартное имя файла скрипта, отвечающего за начальный вход в админку;
+ изменить имена заполняемых и скрытых (hidden) полей в скриптах (в результате HTML), отправляемых в запросах GET | POST при логине (соответственно придется изменить и имена принимаемых значений в принимающем скрипте и возможно в БД);
+ удалить из БД (изменить, создать новый) ник администратора "admin", "administrator" (или другие стандартные) на что-то другое;
+ отключать SSH и FTP-доступ на сайт (на стороне сервера), и включать их только тогда, когда они действительно нужны (на время);
+ проверить и дополнить хотя бы головной .htaccess файл параметрами, усиливающими защиту от XSS, xSQL-injection (их можно подсмотреть например в профессиональных плагинах для защиты WordPress, Joomla и т.п.);

Это конечно же не полный спектр защит, но поверьте, это работает и работает как эффективная защита от множества атак!

[bas]

bas, У меня все просто. Я работаю со своим самописом в основном)))

Ну смотря для кого проще... 

+ удалить из БД (изменить, создать новый) ник администратора "admin", "administrator" (или другие стандартные) на что-то другое;

На уровне интуиции использовал другой.

remind4me, Как поднакоплю знаний для грамотных вопросов, помучаю вас на тему защиты...

[apatiger]

Что лучше? - Вопрос глубоко риторический, наверное лучше для каждого то, что он лучше знает. Я уже 4 года занимаюсь с Джумлой. В Джумле также практически весь перечень пожеланий как к МОДх решаем.
- для изменения адреса входа в административную часть есть целый набор плагинов типа Джумла секьюрити кажется...
- для контроля доступа в административную часть есть различные компоненты фаерволов вроде от Акебы или RS
- при обнаружении попыток пролезть куда не надо посторонних можно добавлять условия доступа к сайту IP через традиционный .htpaccess
- безусловно логины admin и administranor нужно поменять на другие и защитить все сильным паролем
- изменить префиксы таблиц баз данных на отличные от традиционных
- открывать доступ по ФТП только когда он Вам необходим
- если Вы не постоянно вносите изменения в структуру сайта и сайт не меняется с фронта, то, как правило, достаточно бэкапов со стороны хостера, чтобы восстaновить если что неожиданно слетело. а бэкапы делать только после ваших существенных изменениях сайта, которые никак нельзя потерять.
- для получения чистого кода на некоторых страницах Вашего сайта есть определенные приемы и Вы можете писаль ХТМЛ код нужной страницы и класть в корень шаблона
- если есть необходимость использования нескольких шаблонов в Джумла, то в ней такая возможность предусмотрена, а на вкладках настройки вывода страниц с фронта в административной части можно выбрать в каком шаблоне Вы хотите вывести тот или иной материал, разумеется необходимо тонко настроить каждый из шаблонов отдельно под Ваши требования и исключить одинаковые названия позиций модулей в них, это тонкая работа и тонкая настройка.
Есть очень много простых, но по началу совсем не очевидных приемов и настроек для новичков в работе и настройке системы, с помощью которых можно добиться практически любых результатов. А умелое использование дополнительных модулей и плагинов беспрецендентно расширяют функциональность системы, коих не считанное множество и большинство можно найти бесплатно. специализированной заточки сайта под свои задачи можно достичь используя дополнительно устанавливаемые компоненты, при этом на сайте одновременно на одной ЦМС можно запустить и форум, и чат, и магазин, и агенство недвижимости, да что угодно и в каких угодно количествах. Разумеется во всем нужно соблюдать баланс и меру, чтобы все работало.
На мой взгляд Джумла не без недостатков, но достоинствами слихвой недостатки перекрывает. Если вы хотите сайт, заточенный под конкретную и одну задачу, форум или магазин, то лучше брать движки именно под это, если же хотите всего по чуть-чуть и универсальный сайт, то лучше брать ЦМС

[iZaZap]

apatiger,
В Джумле также практически весь перечень пожеланий как к МОДх решаем.
- для изменения адреса входа в административную часть есть целый набор плагинов типа Джумла секьюрити кажется...
- для контроля доступа в административную часть есть различные компоненты фаерволов вроде от Акебы или RS
- при обнаружении попыток пролезть куда не надо посторонних можно добавлять условия доступа к сайту IP через традиционный .htpaccess
- безусловно логины admin и administranor нужно поменять на другие и защитить все сильным паролем
- изменить префиксы таблиц баз данных на отличные от традиционных

ссылки дайте почитать об этом
и что нибудь подобное для Wordpress

[vold57]

А умелое использование дополнительных модулей и плагинов беспрецендентно расширяют функциональность системы

Беспрецедентно, означает, что ни в какой другой CMS нельзя расширить функционал так, как это можно сделать в Джумле?

[Alexluxe]

Если один сделал, всегда найдутся люди, способные это сломать!
Пример из истории: Герострат сжег храм Артемиды. Мраморный храм, без крыши!!
Половине наших людей "лавры Герострата" не дают спокойно спать. Бьют и ломают что-попало, наверное хотят прославиться в веках?

Взламывают сайт ЦРУ и NASA, а это вам не ЦМС с открытым кодом, да еще не виртуальном хостинге.

[ВикторияИ]

Взламывают сайт ЦРУ и NASA, а это вам не ЦМС с открытым кодом, да еще не виртуальном хостинге.

просто мы не делаем сайты такого уровня, как сайт ЦРУ, и храмов мы не строим...

а стандартные меры безопасности не помешает соблюсти

[seokaban]

Где можно прочитать про уязвимости дле, а то много сайтов на этом движке и некоторые часто ломают, кстати обычно ломают софтовые сайты. и лиценз и варез.

[LinkMastic]

Безопасные и WP и Joomla. До поры, до времени. Всё относительно
Для создания первых сайтов и набора опыта - то, что нужно.