Host virtual - Seguridad

Descripción

Especifica la accion que se tomara cuando se alcance el limite de intentos de inicio de sesion permitidos dentro de 5 minutos.

Limitar ralentiza gradualmente la velocidad de respuesta del servidor, Descartar corta la conexion sin respuesta, Denegar devuelve una respuesta 403 y CAPTCHA o descartar redirige a CAPTCHA si la proteccion CAPTCHA esta activada y descarta la conexion en caso contrario.

Tambien se puede seleccionar Protección completa CAPTCHA de inicio WP. Esta opcion redirigira a CAPTCHA si la proteccion CAPTCHA esta activada, independientemente del limite de intentos de inicio de sesion permitidos, y usara Limitar como alternativa en caso contrario.

Valores predeterminados:
Nivel de servidor: Limitar
Nivel de VH: Heredar la opcion del nivel del servidor. Si el nivel del servidor esta en Disable, se usara Limitar.

Sintaxis

Seleccionar de la lista desplegable

Consejos

Seguridad Las IP o subredes de confianza no se ven afectadas.
Información Esta funcion esta activada de forma predeterminada (Throttle) y no necesita mas configuracion en la GUI WebAdmin ni en configuraciones de Apache.
Información Esta opcion sobrescribira la opcion Apache conf WordPressProtect solo para LSWS. Apache no se vera afectado.

Información Esto puede configurarse en el nivel del servidor y sobrescribirse en el nivel del host virtual. Si no se sobrescribe en el nivel del host virtual, tambien puede sobrescribirse en el archivo .htaccess del docroot de un usuario usando la directiva de configuracion Apache WordPressProtect con valor 0 (desactivado), 1 (usar la opcion del nivel del servidor), throttle, deny o drop.

Descripción

Especifica el numero maximo de intentos POST a wp-login.php y xmlrpc.php permitidos por una IP dentro de 5 minutos antes de que se tome la accion especificada en Modo de protección.

Este limite se maneja mediante un sistema de cuota donde intentos restantes = limite. Cada intento POST disminuira el numero de intentos restantes en 1, y el numero de intentos restantes aumentara de nuevo hasta el limite establecido con el tiempo. Una IP sera ralentizada cuando el numero de intentos restantes para esa IP caiga a 1/2 del limite establecido, aumentando la ralentizacion a medida que los intentos restantes caigan mas por debajo de la marca de 1/2. Cuando los intentos restantes lleguen a 0, la accion especificada se tomara contra la IP.

Ademas de esto, si Habilitar CAPTCHA tambien esta activado, se agregara una proteccion adicional por worker. Si wp-login.php y xmlrpc.php son visitados por el mismo worker a una tasa de 4 veces el limite establecido en un intervalo de 30 segundos, esas URL se pondran en modo CAPTCHA hasta que disminuya el numero de visitas a estos archivos.

Reiniciar el servidor borrara las IP bloqueadas.

Valores predeterminados:
Nivel de servidor: 10
Nivel de VH: Heredar la opcion del nivel del servidor

Sintaxis

Rango valido: 3 - 1000.

Ejemplo

Consejos

Seguridad Las IP o subredes de confianza no se ven afectadas.

Información Esta opcion sobrescribira la opcion Apache conf WordPressProtect solo para LSWS. Apache no se vera afectado.

Información Esto puede configurarse en el nivel del servidor y sobrescribirse en el nivel del host virtual. Si no se sobrescribe en el nivel del host virtual, tambien puede sobrescribirse en el archivo .htaccess del docroot de un usuario usando la directiva de configuracion Apache WordPressProtect con un valor entero entre 3 y 1000.

Descripción

Especifica si se habilita la inspección profunda del contenido de las solicitudes. Esta función equivale al mod_security de Apache, que puede usarse para detectar y bloquear solicitudes malintencionadas comparándolas con firmas conocidas.

Sintaxis

Seleccionar desde botones de opción

Descripción

Especifica el nivel de detalle de la salida de depuracion del motor Web Application Firewall. Este valor va de 0 - 9. 0 desactiva el registro. 9 produce el registro mas detallado. El registro de errores del servidor y del host virtual Nivel de registro debe estar configurado al menos en INFO para que esta opcion tenga efecto. Esto es util al probar reglas de filtrado de solicitudes.

Sintaxis

Número entero

Ver también

Server Nivel de registro, Virtual Host Nivel de registro

Descripción

Especifica las acciones predeterminadas que deben realizarse cuando coincide una regla de censura. El valor predeterminado es deny,log,status:403, lo que significa denegar el acceso con el código de estado 403 y registrar el incidente en el registro de errores.

Sintaxis

Cadena. Esta cadena de acción es compatible con la sintaxis de mod_security de Apache. Consulte el manual de mod_security para obtener más detalles.

Ver también

Accion del conjunto de reglas

Descripción

Especifica si se comprueba el cuerpo de una solicitud HTTP POST. El valor predeterminado es "No".

Sintaxis

Seleccionar desde botones de opción

Descripción

Las reglas configuradas aqui solo funcionan para hosts virtuales configurados con una configuracion nativa de LSWS, no para hosts virtuales que usan Apache httpd.conf.

Descripción

Asigne un nombre a un grupo de reglas de censura. Solo para visualización.

Sintaxis

Cadena

Descripción

Especifica las acciones que deben tomarse cuando se cumple una regla de censura en el conjunto de reglas actual. Si no se establece, se usara Acción predeterminada.

Sintaxis

Cadena. Esta cadena de accion usa la misma sintaxis que la directiva mod_security SecDefaultAction de Apache.

Descripción

Especifica si se habilita este conjunto de reglas. Con esta opción, un conjunto de reglas puede activarse y desactivarse rápidamente sin agregarlo ni quitarlo. El valor predeterminado es "Yes".

Sintaxis

Seleccionar desde botones de opción

Descripción

Especifica una lista de reglas de censura.

Si usa un archivo de configuracion de Apache, debe configurar las reglas en httpd.conf. Las reglas definidas aqui no tendran efecto.

Sintaxis

Cadena. La sintaxis de las reglas de censura sigue la de las directivas mod_security de Apache. "SecFilter", "SecFilterSelective" y "SecRule" pueden usarse aqui. Puede copiar y pegar reglas de seguridad desde un archivo de configuracion de Apache.

Para mas detalles sobre la sintaxis de reglas, consulte la documentacion de Mod Security.

Consejos

Información Las reglas configuradas aqui solo funcionan para vhosts configurados con configuracion nativa de LSWS, no para vhosts desde Apache httpd.conf.

Descripción

Las protecciones CAPTCHA/Anubis son servicios para mitigar una carga elevada del servidor. Según la situación, las solicitudes se redirigen a una página de validación CAPTCHA o se envían a un servidor backend Anubis configurado.

La protección CAPTCHA se activará cuando ocurra una de las siguientes situaciones. Una vez activa, todas las solicitudes de clientes NON TRUSTED (según la configuración) se redirigirán a una página de validación CAPTCHA. Después de la validación, el cliente será redirigido a la página solicitada.
1. El número de solicitudes concurrentes del servidor o virtual host supera el límite de conexiones configurado.
2. Anti-DDoS está habilitado y un cliente accede a una URL de forma sospechosa. Al activarse, el cliente será redirigido primero a CAPTCHA en lugar de ser denegado.
3. La protección contra ataques de fuerza bruta de WordPress está habilitada y la acción está configurada como 'CAPTCHA or Drop'. Cuando se detecte un ataque, el cliente será redirigido primero a CAPTCHA. Después de alcanzar Max Tries, la conexión se cerrará según la opción 'drop'.
4. La protección contra ataques de fuerza bruta de WordPress está habilitada y la acción está configurada como 'WP Login CAPTCHA Full Protection'. El cliente siempre será redirigido primero a CAPTCHA.
5. Se proporciona un nuevo entorno de regla de rewrite para activar CAPTCHA mediante RewriteRules. 'verifycaptcha' puede configurarse para redirigir clientes a CAPTCHA. El valor especial ': deny' puede configurarse para denegar al cliente si falla demasiadas veces. Por ejemplo, [E=verifycaptcha] siempre redirigirá a CAPTCHA hasta que se verifique. [E=verifycaptcha: deny] redirigirá a CAPTCHA hasta alcanzar Max Tries, después de lo cual se denegará al cliente.

Descripción

Activa o desactiva individualmente las funciones de proteccion CAPTCHA/Anubis.

El valor predeterminado es Inherit Server level settings

Sintaxis

Seleccionar mediante casillas

Descripción

Sensibilidad automatica de CAPTCHA/Anubis. Cuanto mayor sea el valor, mas probable sera que se use la proteccion CAPTCHA/Anubis. Un valor de 0 es equivalente a "Off" mientras que un valor de 100 equivale a "Always On".

Valores predeterminados:
Nivel de servidor: 0
Nivel de host virtual: Heredar la opcion del nivel del servidor

Sintaxis

Valor entero entre 0 y 100.

Descripción

El numero de solicitudes concurrentes necesario para activar CAPTCHA. CAPTCHA seguira usandose hasta que el recuento de solicitudes concurrentes caiga por debajo de este numero.

El valor predeterminado es 15000.

Sintaxis

Número entero

Descripción

Establézcalo en Habilitado si desea iniciar procesos CGI (incluidos programas PHP) en un sandbox de bubblewrap. Consulte https://wiki.archlinux.org/title/Bubblewrap para obtener detalles sobre el uso de bubblewrap. Bubblewrap debe estar instalado en su sistema antes de usar este ajuste.

Este ajuste no se puede activar a nivel de virtual host si está establecido en "Disabled" a nivel de servidor.

Valores predeterminados:
Nivel de servidor: Disabled
Nivel de VH: Heredar el ajuste de nivel de servidor

Sintaxis

Seleccionar de la lista desplegable

Descripción

Establézcalo en Habilitado si desea iniciar procesos CGI (incluidos programas PHP) en un sandbox de contenedor namespace. Solo se usa cuando Contenedor Bubblewrap está establecido en Deshabilitado.

Cuando no está Deshabilitado a nivel de servidor, este valor de ajuste se puede sobrescribir a nivel de virtual host.

Valores predeterminados:
Nivel de servidor: Deshabilitado
Nivel de virtual host: Heredar el ajuste de nivel de servidor

Sintaxis

Seleccionar de la lista desplegable

Descripción

Ruta a un archivo de configuracion existente que contiene una lista de directorios que se montaran junto con los metodos usados para montarlos. Si Archivo de plantilla Namespace tambien esta establecido en el nivel de Servidor, se usaran ambos archivos.

Sintaxis

Una ruta que puede ser absoluta, relativa a $SERVER_ROOT o relativa a $VH_ROOT.

Descripción

Los hotlinks son solicitudes realizadas desde un sitio web externo a archivos de su propio sitio web, a menudo llamadas "leeching". Esta practica introduce uso adicional de ancho de banda del que usted no deberia ser responsable.

LiteSpeed web server puede impedir que otros enlacen directamente contenido de su sitio web comprobando el encabezado Referer dentro de una solicitud HTTP. Si el encabezado Referer no coincide con su sitio web, se denegara la solicitud.

Descripción

Especifica si se debe activar la proteccion contra hotlink.

Sintaxis

Seleccionar desde botones de opción

Descripción

Especifica que tipos de archivos se protegeran contra hotlink mediante una lista de sufijos de archivo.

Sintaxis

Lista separada por comas. "." esta prohibido

Descripción

Especifica una URL a la que se redirigira al usuario cuando se detecte una accion de hotlinking. Puede redirigir a los usuarios a una imagen o pagina que indique que el hotlinking no esta permitido. Si no se especifica, se devolvera 403 Forbidden.

Sintaxis

URL absoluta

Descripción

Especifica si se permite el acceso directo sin un referrer. Un encabezado referrer identifica la pagina web que enlazo con la pagina actual. No hay encabezado "referrer" en las solicitudes HTTP cuando un usuario escribe una direccion directamente en la barra de direcciones o usa una funcion como "save target link as".

Sintaxis

Seleccionar desde botones de opción

Descripción

Especifica si solo se permiten referencias desde el sitio web actual. Cuando se establece en Sí, Dominios permitidos no tiene efecto y ningun otro sitio web puede enlazar a archivos protegidos. Esto puede ser conveniente si desea aparcar varios nombres de dominio en el sitio web actual.

Sintaxis

Seleccionar desde botones de opción

Descripción

Especifica que sitios web pueden enlazar a contenido protegido.

Sintaxis

Lista de nombres de dominio separada por comas.

Descripción

Especifica sitios web que pueden enlazar a contenido protegido mediante expresiones regulares. La expresion regular coincidira solo con el nombre de dominio y no con la URL completa.

Sintaxis

Expresiones regulares

Ejemplo

Descripción

Especifica que subredes y/o direcciones IP pueden acceder al servidor. A nivel de servidor, este ajuste afectara a todos los virtual hosts. Tambien puede configurar control de acceso unico para cada virtual host a nivel de virtual host. Los ajustes de nivel de virtual host NO sobrescribiran los ajustes de nivel de servidor.

Bloquear/permitir una IP se determina por la combinacion de la lista permitida y la lista denegada. Si desea bloquear solo ciertas IP o subredes, ponga * o ALL en Lista permitida y liste las IP o subredes bloqueadas en Lista denegada. Si desea permitir solo ciertas IP o subredes, ponga * o ALL en Lista denegada y liste las IP o subredes permitidas en Lista permitida. Se usara el ajuste del ambito mas pequeno que coincida con una IP para determinar el acceso.

Nivel de servidor: Las IP o subredes confiables deben especificarse en Lista permitida agregando una "T" final. Las IP o subredes confiables no se ven afectadas por limites de conexion/throttling. Solo el control de acceso de nivel de servidor puede configurar IP/subredes confiables.

Consejos

Seguridad Use esto a nivel de servidor para restricciones generales que se apliquen a todos los virtual hosts.

Descripción

Especifica la lista de IP o subredes permitidas. Se aceptan * o ALL.

Sintaxis

Lista delimitada por comas de direcciones IP o subredes. Se puede usar una "T" final para indicar una IP o subred de confianza, como 192.168.1.*T.

Ejemplo

Consejos

Seguridad Las IP o subredes de confianza establecidas en el control de acceso de nivel de servidor se excluirán de los límites de conexión/throttling.

Descripción

Especifica la lista de IP o subredes no permitidas.

Sintaxis

Lista delimitada por comas de direcciones IP o subredes. Se aceptan * o ALL.

Ejemplo

Descripción

Lista todos los realms de autorizacion para este virtual host. Los realms de autorizacion se usan para impedir que usuarios no autorizados accedan a paginas web protegidas. Un realm es un directorio de usuarios que contiene nombres de usuario y contrasenas con clasificaciones de grupo opcionales. La autorizacion se realiza a nivel de contexto. Como distintos contextos pueden compartir el mismo realm (base de datos de usuarios), los realms se definen por separado de los contextos que los usan. Puede hacer referencia a un realm por estos nombres en la configuracion de contexto.

Descripción

Especifica un nombre unico para el realm de autorizacion.

Descripción

Especifica como se almacenan los datos de usuario/grupo para un realm de autorizacion. Actualmente, los datos de usuario/grupo pueden almacenarse en archivos planos o en un servidor LDAP.

Sintaxis

Seleccionar de la lista desplegable

Descripción

Especifica la ubicacion de la base de datos de usuarios. Se recomienda almacenar la base de datos bajo el directorio $SERVER_ROOT/conf/vhosts/$VH_NAME/.

Para el tipo de DB Password File, es la ruta al archivo plano que contiene definiciones de usuario/contrasena. Puede editar este archivo mediante la consola WebAdmin haciendo clic en el nombre de archivo.

Cada linea del archivo de usuarios contiene un nombre de usuario seguido de dos puntos, seguido de una contrasena cifrada con crypt(), opcionalmente seguida de dos puntos y los nombres de grupo a los que pertenece el usuario. Los nombres de grupo se delimitan con comas. Si la informacion de grupo se especifica en la base de datos de usuarios, no se comprobara la base de datos de grupos.

Ejemplo:

john:HZ.U8kgjnMOHo:admin,user

Sintaxis

Ruta al archivo de DB de usuarios.

Consejos

Seguridad Se recomienda almacenar archivos de contrasenas de usuario fuera del arbol de documentos. Si un archivo de contrasenas de usuario debe colocarse dentro del arbol de documentos, simplemente nombielo con un prefijo ".ht" como .htuser para evitar que se sirva como archivo estatico. LiteSpeed Web Server no sirve archivos con prefijo ".ht".

Ver también

Ubicación de BD de grupos, Atributo de contraseña, Atributo Member-of

Descripción

Especifica el nombre del atributo de contrasena para un registro de usuario almacenado en un servidor LDAP. El valor predeterminado es userPassword.

Sintaxis

cadena

Descripción

Especifica el nombre del atributo "Member-of" para un registro de usuario almacenado en un servidor LDAP. El valor predeterminado es memberOf. El atributo "Member-of" puede usarse para especificar el nombre del grupo al que pertenece el usuario.

Sintaxis

cadena

Descripción

Especifica el tamano maximo de cache de la base de datos de usuarios. Los datos de autenticacion de usuarios accedidos recientemente se almacenaran en cache en memoria para proporcionar el maximo rendimiento.

Sintaxis

Número entero

Consejos

Rendimiento Como una cache mas grande consumira mas memoria, un valor mayor puede o no proporcionar mejor rendimiento. Establezcalo en un tamano adecuado segun el tamano de su base de datos de usuarios y el uso del sitio.

Descripción

Especifica con que frecuencia se comprobara si la base de datos de usuarios backend tiene cambios. Cada entrada de la cache tiene una marca de tiempo. Cuando los datos en cache son mas antiguos que el timeout especificado, se comprobara si la base de datos backend tiene cambios. Si no hay cambios, la marca de tiempo se reiniciara a la hora actual; de lo contrario, se cargaran los datos nuevos. La recarga del servidor y el reinicio graceful limpiaran la cache inmediatamente.

Sintaxis

Número entero

Consejos

Rendimiento Si la base de datos backend no cambia con mucha frecuencia, establezca un timeout mas largo para mejorar el rendimiento.

Descripción

Especifica la ubicacion de la base de datos de grupos. Se recomienda almacenar la base de datos bajo el directorio $SERVER_ROOT/conf/vhosts/$VH_NAME/.

La informacion de grupo puede establecerse en la base de datos de usuarios o en esta DB de grupos independiente. Para la autenticacion de usuarios, se comprobara primero la DB de usuarios. Si la DB de usuarios tambien contiene informacion de grupo, no se comprobara la DB de grupos.

Para el tipo de DB Password File, la ubicacion de la DB de grupos debe ser la ruta al archivo plano que contiene definiciones de grupo. Puede editar este archivo mediante la consola WebAdmin haciendo clic en el nombre de archivo.

Cada linea de un archivo de grupos debe contener un nombre de grupo seguido de dos puntos, seguido de un grupo de nombres de usuario delimitados por espacios. Ejemplo:

testgroup: user1 user2 user3

Sintaxis

Nombre de archivo que puede ser una ruta absoluta o una ruta relativa a $SERVER_ROOT, $VH_ROOT.

Consejos

Seguridad Se recomienda almacenar un archivo de grupos fuera del arbol de documentos. Si debe colocarse dentro del arbol de documentos, simplemente nombielo con un prefijo ".ht" como .htgroup, para evitar que el archivo se sirva como archivo estatico. LiteSpeed Web Server no sirve archivos con prefijo ".ht".

Ver también

Ubicación de BD de usuarios, Context Require (usuarios/grupos autorizados), Atributo de miembro de grupo

Descripción

Especifica el nombre del atributo "Member" para un registro de grupo almacenado en un servidor LDAP. El valor predeterminado es memberUid.

Sintaxis

cadena

Descripción

Especifica el tamano maximo de cache de la base de datos de grupos.

Sintaxis

Número entero

Consejos

Rendimiento Como una cache mas grande consumira mas memoria, un valor mayor puede o no proporcionar mejor rendimiento. Establezcalo en un tamano adecuado segun el tamano de su base de datos de usuarios y el uso del sitio.

Ver también

Tamaño máx. de caché de BD de usuarios

Descripción

Especifica con que frecuencia se comprobara si la base de datos de grupos backend tiene cambios. Para mas detalles, consulte Tiempo de Espera de Caché de BD de Usuario (segs).

Sintaxis

Número entero

Ver también

Tiempo de Espera de Caché de BD de Usuario (segs)

Descripción

Especifica un DN usado para enlazarse al servidor. Si el servidor LDAP requiere autenticacion, se deben especificar un DN de enlace y una contrasena. Si no se especifica, se usara enlace anonimo.

Sintaxis

cadena

Ver también

Contraseña de enlace LDAP

Descripción

Especifica una contrasena usada para enlazarse al servidor. Si el servidor LDAP requiere autenticacion, se deben especificar un DN de enlace y una contrasena.

Sintaxis

cadena

Ver también

DN de enlace LDAP