Llevo algún tiempo con una instalación de Drupal algo olvidada. Hoy tenia un rato y me puse a trastear a ver si encontraba algún modulo para securizar la instalación. Encontré este Security Kit y voy a empezar a trastear un poco con el.
La instalación del módulo no tiene ningún misterio, copias la url y se instala sin problemas, lo habilitas y listo.
Y aquí empieza lo gracioso.
Cross-site scripting -> content security policy -> de momento lo voy a poner en «report only» porque no tengo demasiado claro como configurarlo.
Cross-site request forgery -> por defecto viene marcado «check origin http request header»
https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)
Click Jacking -> X-frame-options header -> x-frame-options -> SameOrigin (tengo que leerlo con calma)
Javascript-based protection -> Por defecto deshabilitado y es un poco tarde para probar … mañana lo pruebo.
De momento algo si que parece que hace, en el log han empezado a aparecer muchos warnings de ips raras que estan marcadas como «peligrosas»
172.69.63.111 -> https://www.projecthoneypot.org/ip_172.69.62.178
Y unas cuantas mas … estoy tentado en habilitarlo a ver que pasa. Y como era de esperar, si lo habilitas se va todo a tomar por culo. Y esta es una de las cosas que mas odio de drupal. Cada cambio de configuración es un dolor.