Дополнительные меры безопасности
-
Здравствуйте. Подскажите, пожалуйста, как правильно заблокировать через .htaccess нежелательные сущности в виде ботов и взломщиков?
Когда создавал сайт, уделил изучению вопросов безопасности, наверное, больше времени, чем seo, дизайну и т.д. Т.е. все азы в духе «скрыть/отключить/не использовать…» и т.п. соблюдаю, но старался не нагружать .htaccess простынями всевозможных правил на все случаи жизни.
Cегодня впервые получил уведомление с сайта, что был превышен лимит попыток авторизации и такой-то ip заблокирован на столько-то минут. В логах «такой-то ip» и ahrefsbot идут в одной связке. Получается, к моим логину и адресу страницы входа (нестандартным и известным только мне) доступ получен-таки был. Админа сменил, добавил в .htaccess правило для этого и еще нескольких ботов:<IfModule mod_rewrite.c> RewriteEngine On RewriteCond %{HTTP_USER_AGENT} .*bingbot.* [NC,OR] RewriteCond %{HTTP_USER_AGENT} .*ahrefsbot.* [NC,OR] RewriteCond %{HTTP_USER_AGENT} .*ucrawlr.* [NC,OR] RewriteCond %{HTTP_USER_AGENT} .*xovibot.* [NC,OR] RewriteCond %{HTTP_USER_AGENT} .*facebookexternalhit.* [NC,OR] RewriteCond %{HTTP_USER_AGENT} .*openstat.ru.* [NC,OR] RewriteCond %{HTTP_USER_AGENT} .*linux.* [NC,OR] RewriteCond %{HTTP_USER_AGENT} .*mj12bot.* [NC] RewriteRule .* - [R=403,L] </IfModule>Но вот смотрю — тот же bingbot после этого продолжает успешно шастать по сайту. Что еще можно сделать/дописать в .htaccess? По IP, наверное, не вариант, там динамический.
Интересуют также не широко известные способы, которые позволяют узнать логин админа и адрес страницы входа (вроде все известные и описанные ранее в Интернете нейтрализовал), точнее, меры против таких способов. Спасибо.
-
этот вопрос с деньгами надуманный.
Конечно надуманный 🙂
Вот мне приходят уведомления от бывшего клиента. Как раз на айхоре
И таких уведомлений я получаю от нескольких хостеров экс-клиентов 🙂 Есть и такие что пока хостер акк не отключит — не пошевелятся.
для нормального человека подобные ограничения по оплате ничем не страшны. он и сервера будет заранее оплачивать, да и бекапами позаботится заранее.
уже на своей ж…е протестировал — благо бекап был ( у меня шиза и по этому делаю и на ПК и на съемный hdd) , и потерял инфы за 3 дня что для моего небольшого сайта ерунда.
каждый платит как нравится, там где проекты важны плачу за 3 месяца + есть баланс с которого хостинг сам снимет при необходимости и моем отсутсвии.
А там где балуюсь с версткой , базой и прочим, то плачу помесечно так как не знаю когда появится желание уйти с хостанормальные люди для этого локальный сервер поднимают.
…и скирдуют на него бэкапы с хостингов
я себя не отношу к нормальным — у меня все не стандартно и по-моему.
К томуже я ничего не создаю, а настраиваю и тестю под свои нужды — что исключает необходимость морочится с локалкой, я 15 мин покавырял и зачем мне локалка(её тоже нужно осваивать а за это мне никто не заплатит и применять эти знания не буду) и мне проще 100 -300 р за хост отдать.
главное то что , тестовые хосты помогают определится с возможнастями хоста и ко всему домен индексируется, а то что тестовый описывать плюсы не буду.
- Тема «Дополнительные меры безопасности» закрыта для новых ответов.