• Страница 1 из 5
  • 1
  • 2
  • 3
  • 4
  • 5
  • »
Модератор форума: Yuri_G  
Сообщество uCoz » Мастерская uCoz » Безопасность сайта » Безопасность и политика настроек групп пользователей
Безопасность и политика настроек групп пользователей
webanet
Сообщений: 24067
Репутация: 4985

Сообщение # 1 | 22:08:22
Важным аспектом для безопасного функционирования сайта является правильная установка прав группам пользователей. Группы пользователей имеют четкую иерархию. Стандартные группы по убыванию прав:
  • Администраторы
  • Модераторы
  • Друзья/Проверенные
  • Пользователи
  • Гости
  • Заблокированные

Самые большие права и полномочия имеет группа Администраторы. Самые низкие права имеет группа Гости, группа Заблокированные не имеет прав, все функции сайта отключены для этой группы. Первичные настройки по-умолчанию, которые задаются при создании сайта, дают возможность комфортно и безопасно взаимодействовать пользователям с сайтом. По умолчанию некоторые настройки стандартных групп пользователей изменить нельзя. Сделано это по соображениям безопасности и для защиты от спама.
По умолчанию вновь зарегистрированные пользователи попадают в группу Пользователи. Поэтому эта группа является самой многочисленной на сайте и установка прав для этой группы имеет большое значение.

Самыми уязвимыми местами на сайте в плане спама и распространения нежелательных ссылок - это комментарии, гостевая книга, мини-чат и подписи пользователей. Поэтому для приведённых пунктов настройки рекомендуется снимать галочки на следующие пункты у группы Пользователи:

  • Использовать ББ-коды в подписи - пользователи
  • Разрешить ББ-коды - комментарии
  • Разрешить ББ-коды и Автоматически делать ссылками www и email адреса - гостевая книга
  • Разрешить ББ-коды и Автоматически делать ссылками www и email адреса - мини-чат (по умолчанию галочка снята, рекомендуется не ставить галочку)

Этими мерами можно уменьшить количество спама на сайте, а так же защититься от довольно распространённой неприятности, когда с помощью ББ-кодов ставят картинку в мини-чат или комментарии ссылку генерирующую всплывающее окно с запросом пароля.
В настройках Пользователи не стоит подключать функцию Использовать ББ-коды [URL] и [IMG] (по умолчанию галочка снята). Это потенциально опасные ББ-коды.
В настройках форума можно оставить Разрешить ББ-коды для пользователей, но с отключённой Использовать ББ-коды [URL] и [IMG], таким образом панель ББ-кодов у пользователей будет, но не будет [URL] и [IMG].
Так же с осторожностью нужно давать права на Изменять максимальные размеры загружаемых изображений, Загружать файлы на сервер при добавлении материалов, а так же давать права на использование граффити редактора и заливку собственных аватаров на сайт. Это может существенно сэкономить дисковое пространство сайта

Какие права не стоит давать никому кроме главного администратора сайта.

Первое и самое важное - это то, что администратор сайтом со всеми правами (без ограничений) должен быть только один! Если предполагается, что на сайте будут ещё администраторы и модераторы, то нужно давать им несколько урезанные права. Если группу модераторов можно настроить отдельно, то вторую группы Администраторы лучше создать и там настроить права отличные от прав главного администратора. При создании группы Администраторы, ей присвоится id отличный от системной группы по умолчанию. ID главного администратора (группа по умолчанию) 4.

А теперь список прав, которые нельзя давать остальным группам:


  • Редактировать дизайн сайта (рекомендуется)
  • Использование файлового менеджера (категорически нельзя)
  • Доступ к панели инструментов администратора (категорически не рекомендуется)
  • Удалять всех пользователей (категорически не рекомендуется)
  • Перемещать пользователей в другие группы (категорически не рекомендуется)
  • Добавлять страницы сайта (категорически нельзя)
  • Редактировать информацию на страницах сайта (категорически не рекомендуется)
  • Удалять страницы сайта (категорически нельзя)
  • Так же стоит подумать о том, давать ли права на удаление всех материалов в модулях
  • Особенно стоит подумать о том давать ли права на использование HTML тегов при добавлении материалов и на форуме. Разрешать HTML теги нужно с большой осторожностью так как это потенциально опасно!

Защита от спама

Не показывать код безопасности - эта настройка снимет код безопасности для групп пользователей, кроме группы Пользователи (группа по умолчанию) и группы Гости. В модуле мини-чат есть отдельная настройка на отключение кода безопасности для группы Пользователи. Код безопасности является если не панацеей от автоспама, то довольно эффективным барьером.
Препятствием к спаму могут стать следующие настройки модуля Пользователи (эффективно для сайтов с локальной авторизацией):
Блокировать повторные e-mail адреса:
Запрещать активность пользователей с неподтвержденными e-mail адресами:

Полезно использовать одну из функций :
Использовать функцию преобразования внешних ссылок с помощью сервиса u.to:
или
Проксировать все внешние ссылки в добавляемых материалах:
Подключить функции можно ПУ - Редактор страниц - Общие настройки

Для защиты от спама в репутацию можно поставить тайм-аут на повторное изменение репутации. Выставить настройку можно ПУ - Пользователи - Настройка модуля - Включить функцию "Репутация пользователя": - Таймаут на повторное изменение репутации - минимум один день.

Самой эффективной защитой от спама на сайте является премодерация выводимых сообщений. Премодерацию можно установить как на добавляемые материалы, так и на добавляемые пользователями сообщения в мини-чат, в гостевую книгу, а так же на комментарии.

Набор команды сайта

Самое главное - это не набирайте в администраторы и в модераторы сайта незнакомых вам людей.
Для маленьких сайтов с посещаемостью менее 500 уников в сутки не нужно набирать огромный административный состав. Вполне достаточно одного главного администратора и одного-двух модераторов.
Никогда не "расплачивайтесь" административным должностями на сайте за какие-либо оказанные вам услуги.
Набор администраторов и модераторов должен быть глубоко осознанным и осмысленным, и должен быть продиктован только необходимостью.
При наборе "журналистов" "постеров" старайтесь в созданных для них группах (если нужно создание группы) не давать права на использование HTML тегов. Придерживайтесь настроек для группы пользователи/проверенные. Предупреждайте всех о запрете использования грабберов и других программ для автопостинга

ТУТ можно оставить своё мнение по любому вопросу
https://webanetlabs.net/
amishik
Сообщений: 70
Репутация: 26

Сообщение # 2 | 02:09:48
Что означает в смысле прав каждой группы пользователей фраза "Группы, имеющие доступ к странице?"
Означает ли это, что каждый из группы, например, может добавлять материал, редактировать и т.д.
Сообщение отредактировал amishik - Суббота, 08 Окт 2011, 20:52:00
webanet
Сообщений: 24067
Репутация: 4985

Сообщение # 3 | 14:51:11
amishik, да. означает. настройки разрешений распространяются на всю группу

ТУТ можно оставить своё мнение по любому вопросу
https://webanetlabs.net/
Lion566
Сообщений: 3
Репутация: 5

Сообщение # 4 | 11:33:19
А если я назначил администратора с доступом к админ-панели. То через какой пароль он должен входить в админку? Пароль администратора его юнета не подходит...
ДухLESS
Сообщений: 552
Репутация: 484

Сообщение # 5 | 18:05:45
Lion566,
Quote (Lion566)
То через какой пароль он должен входить в админку?

Через тот же пароль, который используете вы.
Antonina4046
Сообщений: 2
Репутация: 2

Сообщение # 6 | 18:01:03
подскажите что делать, если на сайте несколько раз в день регистрируется спамер? При этом все предыдущие рекомендации выполнены
Retfern
Сообщений: 1
Репутация: 0

Сообщение # 7 | 19:56:37
как сделать чтобы на сайт заходили только зарегистрированные пользователи и разрешение на регистрацию давал администратор (т. е. - я)?
ДухLESS
Сообщений: 552
Репутация: 484

Сообщение # 8 | 07:57:36
Retfern,
Quote (Retfern)
разрешение на регистрацию давал администратор (т. е. - я)?

Вы можете закрыть регистрацию для всех (Панель управления - Пользователи - Настройки модуля - Использовать модуль "Пользователи" (убираем галочку)) и регистрировать всех самостоятельно через "Добавить пользователя" в Панели управления.
Сообщение отредактировал ДухLESS - Вторник, 15 Ноя 2011, 07:58:10
user1326
Сообщений: 2
Репутация: 0

Сообщение # 9 | 19:55:56
Где в настройках включить премодерацию?
Selena
Сообщений: 15657
Репутация: 1100

Сообщение # 10 | 20:08:38
user1326, в правах групп. Но смотря чего.

Отправляя сообщение о помощи, приводите ссылку на свой сайт. Это не считается рекламой, зато снимает массу вопросов.
Shaltay_alexandr_baltay
Сообщений: 1
Репутация: 0

Сообщение # 11 | 19:27:11
Ребята, подскажите, как сделать, чтоб мой сайт могли смотреть только я и еще два человека?
Selena
Сообщений: 15657
Репутация: 1100

Сообщение # 12 | 21:09:16
Shaltay_alexandr_baltay, уставите соответствующие права групп.

Отправляя сообщение о помощи, приводите ссылку на свой сайт. Это не считается рекламой, зато снимает массу вопросов.
e-chas
Сообщений: 30
Репутация: 0

Сообщение # 13 | 21:48:36
Здравствуйте, обычно здесь читаю и нахожу ответы, а тут что-то не могу разобраться никак, поэтому извините за возможно глупый вопрос. У моего сайта (интернет магазин) должен появиться второй админ, который будет заниматься его продвижением. Создала для него новую группу с правами почти админа, но не совсем (как и рекомендовано выше). Необходимо, чтобы он мог редактировать страницы, тайтлы и т.д., но не хотелось бы давать пароль для входа в панель управления. Без панели он может редактировать некоторые страницы, но это не относится к интернет-магазину, получается ИМ можно редактировать только из панели. Как лучше сделать? Помогите, пожалуйста!!!
webanet
Сообщений: 24067
Репутация: 4985

Сообщение # 14 | 21:58:06
e-chas,
Quote
должен появиться второй админ, который будет заниматься его продвижением.
откуда он появится? это ключевой вопрос. для того чтобы не давать пароль от пу, зайдите в пу - редактор страниц - общие настройки - отключите конструктор на сайте и сохраните внизу. так на сайте из админ бара у него должен появиться доступ к дизайну шаблонов и он сможет все редактировать. вам надо дать ему доступ к админ бару
для этого выполните следующие настройки. пу-пользователи-группы пользователей-установка прав для всех групп-разное-
Редактировать дизайн сайта - ставите галку на его группу
Доступ к панели инструментов администратора - ставите галку на его группу
внизу сохраняете.
но перед всем этим подумайте ещё раз откуда появился оптимизатор

ТУТ можно оставить своё мнение по любому вопросу
https://webanetlabs.net/
e-chas
Сообщений: 30
Репутация: 0

Сообщение # 15 | 23:38:37
Quote (webanet)
но перед всем этим подумайте ещё раз откуда появился оптимизатор


спасибо большое, появился через знакомых, но все равно переживаю, столько случаев угона...

Добавлено (26-Апр-2012, 23:38:37)
---------------------------------------------
webanet, извините за настойчивость, еще один вопрос. Можно ли убрать функцию "смотреть сайт как"? Если нет, то получается пользователь рангом ниже админа может спокойно включить себе права админа через админ бар? Заранее огромное спасибо!

Сообщество uCoz » Мастерская uCoz » Безопасность сайта » Безопасность и политика настроек групп пользователей
  • Страница 1 из 5
  • 1
  • 2
  • 3
  • 4
  • 5
  • »
Поиск: