Installation security hints/es - Revision history

Maren.fritz: Created page with "'''DESCARGO DE RESPONSABILIDAD: El CSP proporcionado aquí es solo un ejemplo y no debe usarse palabra por palabra. Está pensado como un punto de partida y DEBES adaptarlo a..."

2023-09-05T08:28:24Z

Created page with "'''DESCARGO DE RESPONSABILIDAD: El CSP proporcionado aquí es solo un ejemplo y no debe usarse palabra por palabra. Está pensado como un punto de partida y DEBES adaptarlo a..."

← Older revision		Revision as of 10:28, 5 September 2023
Line 123:		Line 123:
	=== Política de seguridad de contenido (CSP) ===		=== Política de seguridad de contenido (CSP) ===

	'''~~DISCLAIMER - The~~ CSP ~~provided here is an example only and is not meant to used verbatim~~. ~~It is meant as~~ a ~~starting point and you MUST adapt it to your needs and test it thoroughly~~.'''		'''DESCARGO DE RESPONSABILIDAD: El CSP proporcionado aquí es solo un ejemplo y no debe usarse palabra por palabra. Está pensado como un punto de partida y DEBES adaptarlo a tus necesidades y probarlo a fondo.'''
	<nowiki><IfModule mod_headers.c>		<nowiki><IfModule mod_headers.c>
	~~Header always set~~ Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; base-uri 'none'; ~~form~~-~~action~~ '~~self~~'; ~~frame-ancestors~~ '~~self~~'; ~~upgrade~~-~~insecure~~-~~requests~~" "expr=%{CONTENT_TYPE} =~ m#text\/(html\|javascript)\|application\/pdf\|xml#i"		El encabezado siempre establece Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; base-uri 'none '; formulario-acción 'yo'; ancestros del marco 'yo'; solicitudes-inseguras-de-actualización" "expr=%{CONTENT_TYPE} =~ m#text\/(html\|javascript)\|application\/pdf\|xml#i "</IfModule></nowiki>
	</IfModule></nowiki>

Maren.fritz: Created page with "=== Política de seguridad de contenido (CSP) ==="

2023-09-05T08:27:58Z

Created page with "=== Política de seguridad de contenido (CSP) ==="

← Older revision		Revision as of 10:27, 5 September 2023
Line 121:		Line 121:


	=== ~~Content Security Policy~~ (CSP) ===		=== Política de seguridad de contenido (CSP) ===

	'''DISCLAIMER - The CSP provided here is an example only and is not meant to used verbatim. It is meant as a starting point and you MUST adapt it to your needs and test it thoroughly.'''		'''DISCLAIMER - The CSP provided here is an example only and is not meant to used verbatim. It is meant as a starting point and you MUST adapt it to your needs and test it thoroughly.'''

Maren.fritz: Created page with "Además, '''no utilice "admin" como usuario predeterminado'''. Vaya a su base de datos MySQL (o aquella en la que instaló LimeSurvey) y cambie el nombre de usuario predetermi..."

2023-09-05T08:27:55Z

Created page with "Además, '''no utilice "admin" como usuario predeterminado'''. Vaya a su base de datos MySQL (o aquella en la que instaló LimeSurvey) y cambie el nombre de usuario predetermi..."

← Older revision		Revision as of 10:27, 5 September 2023
Line 118:		Line 118:
	</syntaxhighlight>		</syntaxhighlight>

	~~Also~~, '''~~don't use~~ "admin" ~~as the default user~~'''. ~~Go to your~~ MySQL ~~database~~ (~~or the one in which you installed~~ LimeSurvey) ~~and change default user name~~ "admin" ~~to whatever you prefer~~ (~~e.g.~~ "admin_xyz"). ~~It will now be much harder to guess the administrator's new user name~~. ~~Remember~~, ~~this is one of the two~~ variables ~~intruders can use to gain access~~. ~~The admin password is the other~~ variable. ~~So choose both of them with extreme caution~~.		Además, '''no utilice "admin" como usuario predeterminado'''. Vaya a su base de datos MySQL (o aquella en la que instaló LimeSurvey) y cambie el nombre de usuario predeterminado "admin" al que prefiera (por ejemplo, "admin_xyz"). Ahora será mucho más difícil adivinar el nuevo nombre de usuario del administrador. Recuerde, esta es una de las dos variables que los intrusos pueden utilizar para obtener acceso. La contraseña de administrador es la otra variable. Así que elige ambos con extrema precaución.

Maren.fritz: Created page with "'urlManager' => array( [...] 'rules' => require('/var/www/htdocs/limesurvey/config/routes.php'), [... ] ); "

2023-09-05T08:27:49Z

Created page with "'urlManager' => array( [...] 'rules' => require('/var/www/htdocs/limesurvey/config/routes.php'), [... ] ); </syntaxhighlight>"

← Older revision		Revision as of 10:27, 5 September 2023
Line 112:		Line 112:

	'urlManager' => array(		'urlManager' => array(
	[...]		[...]
	'rules' => require('/var/www/htdocs/limesurvey/config/routes.php'),		'rules' => require('/var/www/htdocs/limesurvey/config/routes.php'),
	[...]		[... ]
	);		);
	</syntaxhighlight>		</syntaxhighlight>

Maren.fritz: Created page with "Ejemplo:"

2023-09-05T08:27:43Z

Created page with "Ejemplo:"

← Older revision		Revision as of 10:27, 5 September 2023
Line 104:		Line 104:
	</syntaxhighlight>		</syntaxhighlight>

	~~Example~~:		Ejemplo:

	<syntaxhighlight lang="php">		<syntaxhighlight lang="php">

Maren.fritz: Created page with "'urlManager' => array( [...] 'rules' => require('routes.php'), [...] ); "

2023-09-05T08:27:41Z

Created page with "'urlManager' => array( [...] 'rules' => require('routes.php'), [...] ); </syntaxhighlight>"

← Older revision		Revision as of 10:27, 5 September 2023
Line 98:		Line 98:

	'urlManager' => array(		'urlManager' => array(
	[...]		[...]
	'rules' => require('routes.php'),		'rules' => require('routes.php'),
	[...]		[...]
	);		);
	</syntaxhighlight>		</syntaxhighlight>

Maren.fritz: Created page with "'basePath' => dirname(dirname('''FILE''')), 'runtimePath' => dirname(dirname(dirname('''FILE'''))).DIRECTORY_SEPARATOR.'tmp'. DIRECTORY_SEPARATOR.'tiempo de ejecución', [...]"

2023-09-05T08:27:39Z

Created page with "'basePath' => dirname(dirname('''FILE''')), 'runtimePath' => dirname(dirname(dirname('''FILE'''))).DIRECTORY_SEPARATOR.'tmp'. DIRECTORY_SEPARATOR.'tiempo de ejecución', [...]"

← Older revision		Revision as of 10:27, 5 September 2023
Line 94:		Line 94:

	'basePath' => dirname(dirname('''FILE''')),		'basePath' => dirname(dirname('''FILE''')),
	'runtimePath' => dirname(dirname(dirname('''FILE'''))).DIRECTORY_SEPARATOR.'tmp'.DIRECTORY_SEPARATOR.'~~runtime~~',		'runtimePath' => dirname(dirname(dirname('''FILE'''))).DIRECTORY_SEPARATOR.'tmp'. DIRECTORY_SEPARATOR.'tiempo de ejecución',
	[...]		[...]

Maren.fritz: Created page with "Esto evita tener que cambiar todos los demás archivos que incluyen /application/config/config.php, ya que config.php 'los redirige' hacia el archivo de configuración que se..."

2023-09-05T08:27:34Z

Created page with "Esto evita tener que cambiar todos los demás archivos que incluyen /application/config/config.php, ya que config.php 'los redirige' hacia el archivo de configuración que se..."

← Older revision		Revision as of 10:27, 5 September 2023
Line 89:		Line 89:
	Otra forma de proteger esta información puede ser colocar la información del archivo /application/config/config.php en un directorio que no sea web, es decir, para los usuarios de Apache, este es el directorio que se encuentra encima de la carpeta htdocs (también conocida como public_html o www). . Básicamente, usará config.php, pero tendrá una línea, una línea que incluye el archivo con información de configuración REAL (por ejemplo:<?php return include("/home/hostfolder/safedata/configreal.php"); ?> ). Elimine toda la información de configuración real de /application/config/config.php y péguela en el otro archivo (configreal.php) que se menciona en el archivo /application/config/'''config.php'''. Este otro archivo debe estar ubicado en un directorio que no sea web. Entonces, /application/config/config.php no contendrá contraseñas de bases de datos, etc., solo el nombre del archivo que '''SÍ''' contiene la información de la base de datos.		Otra forma de proteger esta información puede ser colocar la información del archivo /application/config/config.php en un directorio que no sea web, es decir, para los usuarios de Apache, este es el directorio que se encuentra encima de la carpeta htdocs (también conocida como public_html o www). . Básicamente, usará config.php, pero tendrá una línea, una línea que incluye el archivo con información de configuración REAL (por ejemplo:<?php return include("/home/hostfolder/safedata/configreal.php"); ?> ). Elimine toda la información de configuración real de /application/config/config.php y péguela en el otro archivo (configreal.php) que se menciona en el archivo /application/config/'''config.php'''. Este otro archivo debe estar ubicado en un directorio que no sea web. Entonces, /application/config/config.php no contendrá contraseñas de bases de datos, etc., solo el nombre del archivo que '''SÍ''' contiene la información de la base de datos.

	~~This avoids having to change all the other files that include~~ /application/config/config.php, ~~since~~ config.php '~~re-directs them~~' ~~towards the configuration file that is located in a non-~~web ~~directory which includes all the~~ real ~~configuration information~~. ~~However~~, ~~you will need to edit~~ configreal.php ~~and change the follow parameters to use absolute directory paths to work properly~~:		Esto evita tener que cambiar todos los demás archivos que incluyen /application/config/config.php, ya que config.php 'los redirige' hacia el archivo de configuración que se encuentra en un directorio no web que incluye toda la información de configuración real. . Sin embargo, necesitarás editar configreal.php y cambiar los siguientes parámetros para usar rutas de directorio absolutas para que funcione correctamente:

	<syntaxhighlight lang="php">		<syntaxhighlight lang="php">

Maren.fritz: Created page with "Otra forma de proteger esta información puede ser colocar la información del archivo /application/config/config.php en un directorio que no sea web, es decir, para los usuar..."

2023-09-05T08:27:29Z

Created page with "Otra forma de proteger esta información puede ser colocar la información del archivo /application/config/config.php en un directorio que no sea web, es decir, para los usuar..."

← Older revision		Revision as of 10:27, 5 September 2023
Line 87:		Line 87:
	El archivo /application/config/config.php contiene un nombre de usuario y una contraseña para su servidor de base de datos. Esto plantea ciertos problemas de seguridad, especialmente si utiliza un inicio de sesión que tiene acceso administrativo de alto nivel a su base de datos. En caso de algún error al devolver el contenido de este archivo PHP al navegador de un usuario, la contraseña de su base de datos y otros detalles podrían verse comprometidos (sin embargo, este es un escenario muy poco probable). La mejor manera de minimizar el riesgo es configurar un inicio de sesión específico que tenga derechos específicos solo para su base de datos LimeSurvey.		El archivo /application/config/config.php contiene un nombre de usuario y una contraseña para su servidor de base de datos. Esto plantea ciertos problemas de seguridad, especialmente si utiliza un inicio de sesión que tiene acceso administrativo de alto nivel a su base de datos. En caso de algún error al devolver el contenido de este archivo PHP al navegador de un usuario, la contraseña de su base de datos y otros detalles podrían verse comprometidos (sin embargo, este es un escenario muy poco probable). La mejor manera de minimizar el riesgo es configurar un inicio de sesión específico que tenga derechos específicos solo para su base de datos LimeSurvey.

	~~Another way to secure this information can be to put the information from the~~ /application/config/config.php ~~file in a non-~~web ~~directory~~, ~~i.e. for~~ Apache ~~users this is the directory above the~~ htdocs (~~also known as~~ public_html or www) ~~folder~~. ~~Basically~~, ~~you will use~~ config.php, ~~but have one line in it - a line that includes the file with ACTUAL configuration information~~ (ex: ~~<code>~~<?php return include("/home/hostfolder/safedata/configreal.php"); ?~~></code~~>). ~~Remove all actual configuration information from~~ /application/config/config.php ~~and paste it into the other file~~ (configreal.php) ~~that is mentioned in the~~ /application/config/'''config.php''' ~~file~~. ~~This other file should be located in a non-~~web ~~directory~~. ~~Then~~, /application/config/config.php ~~will not contain database passwords~~ etc. ~~- just the name of the file that~~ '''~~DOES~~''' ~~contain the database info~~.		Otra forma de proteger esta información puede ser colocar la información del archivo /application/config/config.php en un directorio que no sea web, es decir, para los usuarios de Apache, este es el directorio que se encuentra encima de la carpeta htdocs (también conocida como public_html o www). . Básicamente, usará config.php, pero tendrá una línea, una línea que incluye el archivo con información de configuración REAL (por ejemplo:<?php return include("/home/hostfolder/safedata/configreal.php"); ?> ). Elimine toda la información de configuración real de /application/config/config.php y péguela en el otro archivo (configreal.php) que se menciona en el archivo /application/config/'''config.php'''. Este otro archivo debe estar ubicado en un directorio que no sea web. Entonces, /application/config/config.php no contendrá contraseñas de bases de datos, etc., solo el nombre del archivo que '''SÍ''' contiene la información de la base de datos.

	This avoids having to change all the other files that include /application/config/config.php, since config.php 're-directs them' towards the configuration file that is located in a non-web directory which includes all the real configuration information. However, you will need to edit configreal.php and change the follow parameters to use absolute directory paths to work properly:		This avoids having to change all the other files that include /application/config/config.php, since config.php 're-directs them' towards the configuration file that is located in a non-web directory which includes all the real configuration information. However, you will need to edit configreal.php and change the follow parameters to use absolute directory paths to work properly:

Maren.fritz: Created page with "El archivo /application/config/config.php contiene un nombre de usuario y una contraseña para su servidor de base de datos. Esto plantea ciertos problemas de seguridad, espec..."

2023-09-05T08:27:26Z

Created page with "El archivo /application/config/config.php contiene un nombre de usuario y una contraseña para su servidor de base de datos. Esto plantea ciertos problemas de seguridad, espec..."

← Older revision		Revision as of 10:27, 5 September 2023
Line 85:		Line 85:
	{{Alerta\| Debes actualizar application/config/'''config.php''' solo después de que la primera instalación haya finalizado y funcione.}}		{{Alerta\| Debes actualizar application/config/'''config.php''' solo después de que la primera instalación haya finalizado y funcione.}}

	~~The~~ /application/config/config.php ~~file contains a user name and password for your database server~~. ~~This poses certain security issues~~, ~~particularly if you are using~~ a ~~login that has high level administrative access to your database~~. ~~In the event of some~~ error ~~returning the content of this~~ PHP ~~file to a user's browser~~, ~~your database password and other details could be compromised~~ (~~however~~, ~~this is a very unlikely scenario~~). ~~The best way to minimize risk is to set up a specific login that has specific rights only to your~~ LimeSurvey ~~database~~.		El archivo /application/config/config.php contiene un nombre de usuario y una contraseña para su servidor de base de datos. Esto plantea ciertos problemas de seguridad, especialmente si utiliza un inicio de sesión que tiene acceso administrativo de alto nivel a su base de datos. En caso de algún error al devolver el contenido de este archivo PHP al navegador de un usuario, la contraseña de su base de datos y otros detalles podrían verse comprometidos (sin embargo, este es un escenario muy poco probable). La mejor manera de minimizar el riesgo es configurar un inicio de sesión específico que tenga derechos específicos solo para su base de datos LimeSurvey.

	Another way to secure this information can be to put the information from the /application/config/config.php file in a non-web directory, i.e. for Apache users this is the directory above the htdocs (also known as public_html or www) folder. Basically, you will use config.php, but have one line in it - a line that includes the file with ACTUAL configuration information (ex: <code><?php return include("/home/hostfolder/safedata/configreal.php"); ?></code>). Remove all actual configuration information from /application/config/config.php and paste it into the other file (configreal.php) that is mentioned in the /application/config/'''config.php''' file. This other file should be located in a non-web directory. Then, /application/config/config.php will not contain database passwords etc. - just the name of the file that '''DOES''' contain the database info.		Another way to secure this information can be to put the information from the /application/config/config.php file in a non-web directory, i.e. for Apache users this is the directory above the htdocs (also known as public_html or www) folder. Basically, you will use config.php, but have one line in it - a line that includes the file with ACTUAL configuration information (ex: <code><?php return include("/home/hostfolder/safedata/configreal.php"); ?></code>). Remove all actual configuration information from /application/config/config.php and paste it into the other file (configreal.php) that is mentioned in the /application/config/'''config.php''' file. This other file should be located in a non-web directory. Then, /application/config/config.php will not contain database passwords etc. - just the name of the file that '''DOES''' contain the database info.