Se recomienda que los permisos del archivo config.php se cambien después de la instalación para que este archivo no sea modificado por el servidor web. Tenga en cuenta que esta medida no mejora la seguridad del servidor de forma significativa, pero si puede retrasar o limitar "exploits" comunes.
Si habilita la comunicación https, se recomienda que también habilite el envío de \'cookies\' seguras. Debería asimismo agregar una redirección permanente desde http a https. Idealmente también debería de servir encabezados HSTS (headers) tambien.
A todos los usuarios identificados se les asignan los permisos del rol de usuario por defecto. Por favor, asegúrese de que no se admiten permisos de riego en este rol.
Para el rol de usuario por defecto solo se permite heredar el tipo usuario autenticado. El permiso para ver el curso no debe estar habilitado.
No se recomienda habilitar la configuración PHP display_errors en sitios de producción porque los mensajes de error pueden revelar información sensible sobre su servidor.
display_errors
Se recomienda utilizar un paso de confirmación por email cuando los usuarios cambian la dirección de correo electrónico de su perfil. Si se deshabilita, los spammers pueden tratar de explotar el servidor para mandar correo basura (spam).
También se puede bloquear el campo de correo electrónico en la extensión de identificación, aunque aquí no se considera esta posibilidad.
La Incrustación ilimitada de objetos es muy peligrosa - Cualquier usuario registrado puede lanzar un ataque XSS contra otros usuarios del servidor. Este ajuste debe ser desactivado en los servidores de producción.
La configuración de Abrir a Google permite que los motores de búsqueda entren a los cursos que tengan acceso a invitados. No hay razón de configurarlo así cuando un sitio no permite el acceso a invitados.
El rol de invitados se emplea para el acceso a cursos para invitados, para usuarios no-identificados y para invitados temporales. Por favor asegúrese que no se permitan permisos riesgosos en este rol.
El único rol heredado soportado para el rol de invitado es Invitado.
La incrustación automática de archivos SWF es muy peligrosa - Cualquier usuario registrado puede lanzar un ataque XSS contra otros usuarios del servidor. Por favor, desactivarla en los servidores de producción.
La extensión Sin identificación no está diseñado para sitios en producción. Por favor deshabilítelo a menos que este sea un servidor de pruebas de desarrollo.
Forzar a los usuarios a que se identifiquen para ver perfiles
Forzar a los usuarios a identificarse
Se recomienda establecer una política de contraseñas, ya que adivinar contraseñas en muchas ocasiones es la forma más sencilla de conseguir el acceso no-autorizado. N ponga unos requisitos demasiado estrictos, ya que puede ocurrir que los usuarios no puedan recordar sus contraseñas y entonces las olviden o las escriban en un lugar visible.
Por favor, compruebe la siguiente lista de los administradores del sistema:
Por favor verifique la lista siguiente de administradores del sistema:
Se recomienda que solamente se asigne el rol de administrador en el contexto de sistema. Los siguientes usuarios tienen asignaciones de rol de administrador (no soportadas) en otros contextos:
Estas sustituciones activas dan a los usuarios la habilidad para incluir datos de usuarios dentro de los respaldos. Por favor, asegúrese que este permiso sea estrictamente necesario.
Los siguientes roles del sistema actualmente les permiten a los usuarios incluir datos de usuarios dentro de los respaldos. Por favor, asegúrese que este permiso sea estrictamente necesario.
Debido a los roles de más nivel o a las sutituciones locales, las siguientes cuentas de usuarios actualmente tienen permisos para realizar copias de seguridad conteniendo datos privados de cualquier usuario inscrito en estos cursos. Asegúrese de cumplir la normativa nacional para datos personales, que estos usuarios sean de confianza y estén protegidos por contraseñas seguras:
RISK_XSS indicatodas las capacidades peligrosas que solamente deberían usar los usuarios de confianza.
Por favor verifique la siguiente lista de usuarios y asegúrese de que confía en ellos completamente en este servidor:
{$a}
$CFG->dataroot
config.php
El ejecutar el cron por web puede exponer información privilegiada a usuarios anónimos. Se recomienda usar el cron solamente mediante la Interfaz por Línea de Comando (CLI) o configurar una contraseña del cron para el acceso remoto.