30. Aug 2023
Das Thema Sicherheit hat in Weblication® einen sehr hohen Stellenwert.
Das Sicherheitskonzept in Weblication® ist sehr umfangreich. Nachfolgend finden Sie Maßnahmen und Funktionen, die die Sicherheit Ihres Web-Auftritts erhöhen.
Zur Wahrung der Sicherheit in Weblication® führen wir in aktuellen Weblication® Versionen regelmäßig interne und
externe Sicherheitsprüfungen durch.
Darüber hinaus werden solche Sicherheitschecks auch von unseren Kunden (z.B. von Banken und Konzernkunden, die auf Sicherheit sehr großen Wert legen) durchgeführt.
Und wir bieten unser Bug Bounty Programm an, über das wir gefundene und exklusiv an uns gemeldete Schwachstellen mit einer Prämie honorieren: Weblication® Bug Bounty Programm
Darüber hinaus passen wir die jeweils aktuelle Software-Version und das BASE-Projekt für neue PHP-Versionen an. Damit ist gewährleistet, dass die jeweils genutzte PHP-Version auf dem neuesten Stand gehalten werden kann und auch weiterhin Sicherheits-Patches erhält.
Die Schäden bei unberechtigtem Fremdzugriff, die durch unsichere Passwörter entstehen, werden meist unterschätzt. Zahlreiche Funktionen in Weblication® erhöhen die Sicherheit für Ihre Passworte:
Seit Weblication® Version 13 lässt sich pro Benutzer festlegen, dass die Anmeldung
über eine Zwei-Faktor-Authentifizierung erfolgt.
Durch
die Zwei-Faktor-Authentifizierung erhöhen Sie die Zugriffssicherheit
auf Ihr System, da die Anmeldung selbst dann nicht möglich ist, wenn
jemand anderes Ihr Passwort besitzt.
Nach der Passworteingabe erhalten Sie per E-Mail eine TAN zugeschickt, welche Sie in das dann erscheinende Feld eingeben müssen, um die Anmeldung abzuschließen.
Es lässt sich einstellen, dass die Anmeldung nur über HTTPS möglich ist.
Neu bei der Multi-Faktor-Authentifizierung seit Weblication® Version 14 ist, dass für einen Benutzer mehrere E-Mail-Adressen hinterlegt werden können. Damit können Sie beispielsweise einen Administrator-Benutzer registrieren und mehrere Mitarbeiter berechtigen. Nicht berechtigte Mitarbeiter können dann auch bei bekanntem Passwort nicht zugreifen.
Das Login-Formular unterstützt in Verbindung mit Weblication® Version 14 die Multi-Faktor-Authentifizierung über mehrere E-Mail Adressen.
In den Systemeinstellungen können Sie festlegen:
Weblication® verfügt über eine integrierte Firewall, die zwischen unverdächtigen, verdächtigen und offensichtlich bösartigen Anfragen unterscheidet. Je nach Einstellung können Anfragen so zugelassen, gemeldet oder gleich blockiert werden.
Ein Nutzer kann außerdem für eine gewisse Zeit gesperrt werden, wenn dieser versucht, das System anzugreifen.
Durch die Möglichkeit, verdächtige Zugriffe mit unserem zentralen Sicherheitsserver anonym zu teilen, sind wir in der Lage, auf neue Bedrohungen mit Updates schnell zu reagieren.
Nicht selten aber werden von Hackern Sicherheitslücken auf Servern genutzt, die gar nicht mit der darauf laufenden Website und dem genutzten CMS in Zusammenhang stehen. Aus diesem Grund liefern wir für Administratoren den Server-Sicherheitscheck, in dem wir auf häufig gemachte problematische Einstellungen auf Servern aufmerksam machen:
Der Server-Sicherheitscheck zeigt Ihnen wesentliche und sicherheitstechnisch kritische Einstellungen Ihres Systems.
Bei der Website-Entwicklung können fatale Fehler gemacht werden, die die Sicherheit der Website gefährden können. Daher gibt es den Security-Spider, der die Website auf Schwachstellen prüft:
Mit dem Security-Spider können Projekte gescannt und z.B. auf XSS-Schwachstellen überprüft werden. Dieses Tool ist besonders zum schnellen Testen eigener Anwendungen im Kundenprojekt interessant, da es eingesetzte Parameter automatisch erkennt und nach Schwachstellen sucht.
Bei Verwendung der
Passwort-Ändern Funktion mit Passwortrichtlinie wird den Benutzern in
Rot angezeigt, welche Regeln der Passwortrichtlinie noch nicht erfüllt
sind.
Über diese Funktion kann ein angemeldeter Benutzer sein Passwort ändern. Das Formular wird nicht angezeigt, wenn eine Benutzer nicht angemeldet ist. Um das Passwort ändern zu können, muss der Benutzer sein bisheriges Passwort korrekt eingeben. Das neue Passwort muss zweimal angegeben werden, damit es wirksam geändert werden kann.
Auch in Formularen können systemweite Passwortrichtlinien bei Eingabe in Eingabefeldern validiert werden.
Über diese Funktion kann ein Benutzer ein neues Passwort anfordern. Das
gewünschte Passwort muss eingetragen und anschließend über eine E-Mail,
die der im Benutzer hinterlegten Adresse zugesandt wird, bestätigt
werden. Das Formular enthält standardmäßig einen Spam-Schutz. Da das
Weblic® über Standard-Logikelemente aufgebaut ist, lässt es sich über den
Struktureditor flexibel anpassen.
Auch in Formularen können systemweite Passwortrichtlinien bei Eingabe in Eingabefeldern validiert werden.
Über dieses Formular kann ein angemeldeter Benutzer seine persönlichen
Daten ändern. Über den Formulareditor und das zugehörige Skript kann ein
Administrator definieren, welche Daten vom Benutzer geändert werden
dürfen. Besonders bei vielen Benutzern kann man mit diesem Weblic viel
Zeit durch die dezentrale Pflege sparen.
Auch in der Benutzerregistrierung können systemweite Passwortrichtlinien bei Eingabe in Eingabefeldern validiert werden.
Über dieses Formular können sich Benutzer neu registrieren. Registrieren lassen sich ausschließlich öffentliche Benutzer. Die Registrierung muss auf jeden Fall über eine E-Mail bestätigt werden und enthält einen Spam-Schutz. Standardmäßig ist ein neuer Benutzer von einem eingetragenen Redakteur freizugeben. Eine automatische Freigabe lässt sich einstellen. Zusätzlich lässt sich konfigurieren, ob bei der Registrierung auf ein bestehender Benutzer geprüft werden soll.
Auch in Formularen können systemweite Passwortrichtlinien bei Eingabe in Eingabefeldern validiert werden.
Mit diesem Strukturelement kann der Redakteur ein Formular in eine Seite einfügen. Das Formular kann er anschließend vollständig nach individuellen Wünschen oder Vorgaben anpassen. Einfache Kontaktformulare können völlig ohne Programmierung erstellt werden. Alle üblichen Formularelemente werden über den Struktureditor zur Auswahl angeboten. Die erlaubten Eingabemöglichkeiten, wie z.B. Pflichtfelder oder E-Mails, lassen sich ebenso einstellen, wie Initialwerte. Feldbezeichnungen und Meldungen bei Fehleingaben sind frei definierbar. Neben den Feldtypen und Größen können auch weitere Formatierungen pro Feld definiert werden. Die zu versendende E-Mail wird automatisch aus den im Formular verwendeten Felder generiert. Eigene Mail-Formatierungen sind möglich. Neben einer E-Mail können beim Absenden beliebige Aktionen ausgeführt werden, so dass sich Formulare auch zum Aufbau komplexerer Webanwendungen eignen.
Aufruf einer Seite, wenn das Passwort abgelaufen ist:
Über $preVars['urlChangePasswordIfExpired'] lässt sich in der pre.php definieren, welche eigene Seite aufgerufen wird, falls das Passwort eines Benutzers abgelaufen ist.
Sichern Sie selbst auch andere Zugänge zu Ihren Webservern ab:
Lesen Sie unsere allgemeinen Empfehlungen zum Thema Sicherheit bei der Konfiguration eines Webservers mit PHP. Besonders erwähnt ist hier die Konfiguration von PHP als CGI-Modul.
Um ein entsprechendes Sicherheitsniveau der Weblication® CMS Anmeldedaten (Benutzername und Passwort) zu gewährleisten, sollten Regeln für die Vergabe und Gültigkeit von Passwörtern festgelegt werden.
In Weblication® CMS sind Cloud- und Share-Funktion für Ihren Webspace im Funktionsumfang enthalten - und das in jeder CMS Lizenz.
Die Eingaben sowie Dateianhänge in bestimmten Web-Formularen werden verschlüsselt auf den
Webserver übertragen und dort verschlüsselt im "Verschlüsselten
Briefkasten" abgelegt.
Der Empfänger erhält eine E-Mail ohne Daten und kann die Inhalte nach Authentifizierung in seinem "Verschlüsselten Briefkasten" abholen.
Zeigen Sie Ihren Website-Besuchern, dass Ihnen der Schutz ihrer Daten wichtig ist und bieten Sie ihnen diesen Service an.
Mit Weblication® SEND senden und erhalten Sie vertrauliche Daten automatisch verschlüsselt und sicher, und das ohne Installation
einer Zusatzsoftware bei Sender oder Empfänger - die
Software-Installation erfolgt zentral auf Ihrem Hosting-Paket bzw. Ihrem
Webserver.
Und Sie übertragen damit auch sehr große Dateien, erhalten eine Abrufbestätigung und ein Protokoll.
In Weblication® Version 18 gibt es ein neues Captcha für besseren Spam-Schutz. Dabei muss zum Einblenden der Sicherheitsabfrage zunächst auf einen Button geklickt werden.
Spam-Schutz in Mail-Engine über vorgefertigte und eigene Filter verfügbar.
Abgefangene Spam-Anfragen werden im Sicherheitscenter gelistet.