Joomla安全清单——安全检查表

Joomla是世界上赫赫有名的CMS之一，下载量超过6800万次，SUCURI的最新研究显示Joomla是受欢迎的网站平台之一。Joomla是经验丰富的网站，特别是运行CMS或其他旧版本站点都是非常受欢迎的目标。在本指南中，我们花了一些时间来详细说明可以解决Joomla的一些安全性措施。

除了数据泄露本身带来的危险外，对于那些容易遭受网站安全攻击的人来说，也存在声誉和信誉损失的风险。无论是开放源代码还是专有CMS（封闭源代码），始终都会对安全性造成威胁。因此，应采取预防措施来尽可能防止和保护您的站点。该清单可用于计划和控制任何内容管理系统的安全性。这使您可以消除人为错误。

在Joomla安装之前

• 选择提供以下服务的托管公司：常规备份，Web应用程序防火墙，防病毒扫描程序，最新版本的PHP和更改PHP设置的选项

• 选择7.2或7.3版的PHP

• 创建一个新的数据库和用户-使用强密码

• 下载最新版本的Joomla！（3.9+）或来自开发者网站的快速入门

• 确定您需要哪些扩展，然后确保它们不在危险列表中

• 创建一个帐户SFTP / FTP-使用强密码，FTP的密码必须不同于用于登录主机面板的密码

• 使用良好的防病毒和恶意软件工具扫描您的PC / Mac

• 对于文件传输，请使用基于SSL / TLS的FTP（FTPS）或SSH文件传输协议（SFTP）

根据以下建议检查并设置所有PHP指令：

安装及后续步骤

• 启用离线模式

• 禁用网站索引

• 请勿将“ admin”，“ root”名称等用于主超级管理员帐户

• 将文件名从htaccess.txt重命名 为.htaccess

• 在.htaccess文件中放入额外的安全规则，例如使用6G防火墙/黑名单（perishablepress.com/6g/）

• 检查并在必要时修复目录和文件权限

• 仅保留您需要的内容-卸载不需要的扩展

• 删除所有登录名/密码薄的演示用户

• 如果不需要，请禁用用户注册

• 在“ SEO设置”部分中启用“搜索引擎友好（SEF）”

• 关闭（禁用）显示错误，在全局配置中设置为“无”

对于现有的网站

• 检查PHP版本-必要时更正

• 检查PHP指令设置-必要时更正

• 使用防火墙和防病毒工具扫描您的站点（它可以来自组件或独立脚本（如AI-BOLIT））

• 进行全面备份

• 卸载所有未使用的组件，模块和插件

• 更新所有具有更新版本的扩展

• 更新Joomla！到最新版本

• 从全局配置中删除FTP设置

• 检查.htaccess文件-更新它的设置

• 删除所有假的，未使用的和非活动的用户帐户

• 用过于简单的名称重命名用户登录名（例如“ admin”）

• 检查/ images文件夹中的所有.php，.bin文件-删除它们

• 禁用用户注册-如果不使用

• 启用ReCaptcha或HiddenCaptcha

• 安装安全扩展（至少是防火墙）

• 为域和网站（特别是对于在线商城）启用SSL

• 如果站点仍使用jos_数据库表前缀-重命名

• 安全的Joomla登录管理区

• 使用自定义的图标，而不是Joomla的图标

• 检查站点地图XML文件的内容

• 删除所有假冒或Lorem ipsum内容

• 安装自动备份组件-定期进行更新