Biztonsági jó gyakorlatok

A Gravity Forms telepítésénél több biztonsági szempontot kell végiggondolni. Ez a fejezet segít a webhely tulajdonosának és rendszergazdájának megérteni a kockázatokat, és a beállításokat a saját igényeikhez igazítani. A bővítmény biztonsági felépítéséről a Biztonsági összefoglaló szól.

A webszerver és a WordPress védelme

A Gravity Forms csak annyira biztonságos, amennyire a szerver, amelyre telepítetted. Ezért a vizsgálatot a rendszerrel, a webszerverrel és a WordPress-szel kezdd.

• Szerver és WordPress: ha saját szervert üzemeltetsz, használd a PHP és a webszerver legfrissebb verzióját, és fontold meg a HTTPS kikényszerítését minden oldalon. Állíts be rendszeres mentést, és kövesd a WordPress dokumentációjának a WordPress keményítéséről szóló tanácsait. Felügyelt tárhelyen ennek nagy részét a szolgáltató elvégzi.
• Biztonsági szolgáltatások: egy tűzfal első védvonalként még a szerver előtt megállíthatja a támadásokat. Ilyen szolgáltatás például a Sucuri, a Cloudflare és az Imperva.
• Frissítések: tartsd frissen a WordPresst, a bővítményeket és a sablonokat a karbantartási terv részeként; a mulasztás komoly biztonsági kockázat. Ha már nem akarod fenntartani a Gravity Forms licencét, távolítsd el a bővítményt a webhelyről. Részletek: A frissítések fontossága.

A Gravity Forms biztonsági funkciói

Automatikus háttérfrissítések

Ha új kiadás érhető el, a rendszergazdák értesítést kapnak a vezérlőpulton. Bekapcsolt automatikus háttérfrissítésnél a Gravity Forms magától frissül. Az 1.9.2-es verziótól minden új telepítésen alapból be van kapcsolva. Kikapcsolható a Gravity Forms beállításai között vagy a WordPress konfigurációs fájljában, de bekapcsolva tartani ajánlott. Automatikusan csak fontos hibajavítások és biztonsági kiadások települnek, a fő verziók nem.

Finomhangolt jogosultságok

Nem kell mindenkinek mindent engedélyezni a Gravity Formsban. A felhasználói szerepkörökhöz rendelt jogosultságokkal pontosan szabályozhatod, ki mit tehet. Jó szabály, hogy minden szerepkör csak a szükséges jogosultságot kapja. A részleteket a Szerepkörök fejezet tartalmazza. A WordPress a szerepkörök és jogosultságok kezeléséhez önmagában nem ad felületet, ahhoz bővítmény kell; ilyen például a Members.

Bejelentkezéshez kötött űrlapok

Az űrlap beállításai között megadhatod, hogy csak bejelentkezett felhasználók lássák az űrlapot; a névtelen látogatók üzenetet kapnak. Az ilyen űrlapokat speciális biztonsági tokenek (nonce-ok) védik, amelyek 12 óránként frissülnek. Ezért az ilyen oldalakat nem szabad gyorsítótárazni, különben a beküldések meghiúsulnak. A legtöbb gyorsítótár-bővítmény alapbeállítása ezt eleve megengedi.

Spamvédelem

A spam elsősorban bosszantó, de ha nem kezeled, komoly gond lehet belőle. A Gravity Forms több módszert támogat a felismerésére, ezeket a Spamvédelem fejezet írja le.

Állapot-ellenőrzés

A Gravity Forms beépített ellenőrzést tartalmaz, amely segít a spam és az automatizált támadások ellen. Ez különösen a termékmezős, illetve fizetési szolgáltatóval összekötött űrlapoknál fontos: a rendszer elutasítja azokat a beküldéseket, amelyek a támogatott mezőkbe véletlen vagy váratlan értéket küldenek. Részletek: Állapot-ellenőrzés.

Fájlfeltöltés

A feltöltések biztonságáról (korlátozások, tárolás, letöltés elleni védelem, külső tárolás) a Fájlfeltöltés biztonsága fejezet szól.

A beküldött adatok tisztítása

A mezők értékeit a beküldéskor WordPress-függvények tisztítják, a kimeneten pedig escape-elés történik.

Érzékeny adatok

• Dinamikus kitöltés: a kitöltött értékeket tartalmazó űrlapok oldalát ne tárold gyorsítótárban, nehogy egy látogató kitöltött adatait mások is lássák. Ha személyes adatot (nevet, e-mail-címet) gyűjtő űrlapod van, érdemes bekapcsolnod a bejelentkezés követelményét.
• Beküldések: a beküldések adatai nincsenek titkosítva. Ne használd a Gravity Formst különösen érzékeny adatok (bankkártyaadatok, jelszavak) tárolására, mert adatszivárgásnál súlyos következményei lehetnek.

A REST API

A Gravity Forms API-ját az Űrlapok → Beállítások → REST API oldalon kapcsolhatod be. Két hitelesítési mód van:

1. Az ugyanazon a WordPress-telepítésen futó bővítmények és sablonok a WordPress süti-hitelesítését használják.
2. A külső kliensek lejáró aláírással hitelesítenek.

A webes API a hitelesítés mellett nonce-okat is használ a CSRF (webhelyközi kéréshamisítás) ellen, így más webhelyek nem kényszeríthetnek ki a beleegyezésed nélküli műveletet. A külső alkalmazások kéréseit lejáró aláírás ellenőrzése hitelesíti, ezután a WordPress jogosultság-alapú engedélyezése dönt arról, teljesíthető-e a kérés.

Ha bekapcsoltad az API-t, gondoskodj arról, hogy a titkos kulcs erős és védett legyen. Hozz létre külön API-felhasználót, és csak a legszükségesebb jogosultságot add neki.

Content Security Policy (CSP)

A CSP egy további védelmi réteg, amely segít felismerni és mérsékelni egyes támadásokat, például a keresztoldali szkriptelést (XSS) és az adatinjektálást. Bekapcsolásához minden szkriptcímkének nonce attribútumot kell tartalmaznia. A Gravity Forms 2.5.8-as kiadásától az űrlap beágyazott szkriptjeinek címkéit a WordPress 5.7 vagy újabb állítja elő, így a wp_inline_script_attributes szűrővel hozzáadhatók a CSP által megkövetelt attribútumok, például a nonce.

A forrásfájlok épségének ellenőrzése

Ha attól tartasz, hogy a fájlokat módosították, az md5 ellenőrzőösszegek összevetésével ellenőrizheted őket. Ehhez a Gravity Forms WP-CLI kiegészítője és természetesen a WP-CLI kell. Egy korábbi verzió ellenőrzőösszeg-fájlját a támogatástól kérheted el. Az ellenőrzés parancsa:

wp gf tool verify-checksums

Biztonsági hiba bejelentése

Az ügyfelek és a kutatók bejelentési módját a Biztonsági hiba bejelentése fejezet írja le. Ha azt gyanítod, hogy az oldalad megsérült, nézd meg a Mit tegyél, ha az oldalad feltörték fejezetet.