Das administrator-Verzeichnis sollte man per zusätzlichem Passwortschutz (z.B. .htaccess / .htpasswd) schützen. Geht auch oft direkt übder den Hoster.
Das ist ein wichtiger Grundschutz. Da kannst du also noch was für die Sicherheit tun.
Aber was hast du dagegen, wenn die robots.txt aufrufbar ist? Darin besteht doch gerade der Sinn, dass man hier Infos für Suchmaschinen und Co. hinterlegen kann.
Und nutze beispielsweise mal F12 im Firefox. Da kannst du wunderbar die geladenen css-Dateien analysieren. Völlig normal.
Du sicherst den Zweig /administrator mit der .htaccess ab.
Nicht die ganze Seite (root).
Sie gehört in das Verzeichnis /administrator
Wenn du den Schutz gemäß #5 angelegt hast, werden zunächst Benutzer und Passwort für das Verzeichnis auf dem Server abgefragt, wenn du versuchst, die Backend-Maske aufzurufen. Werden diese korrekt eingegeben, kommst du zur Backend-Maske und kannst dich mit den Zugangsdaten für Joomla einloggen (wie gewohnt).
D.h. der Server wehrt zunächst alles Falsche vorher ab und es findet deshalb auch erst mal keine Verbindung zu Joomla und zur Joomla-DB statt. Das erhöht die Sicherheit.
Ich würde htacess und passwd Datei ins selbe Verzeichnis legen.
Hat jemand eine Idee, wo die Fehlkonfiguration liegen kann?
Die .htaccess im administrator-Verzeichnis wird vermutlich fehlerhaft sein bzw. nicht an den Server angepasst. Ich tippe auch auf eine falsche Pfadangabe.
Dieser muss ja genauso aufgebaut sein wie bei der Angabe von /tmp und /logs in der Joomla-Konfiguration, also meist beginnend mit /var/www/.....
Lui_brempt : Ich lege die Passwortdatei immer oberhalb von Joomla, also dort hin, wo man bei entsprechender Konfiguration mit keiner URL drauf zugreifen kann. Dateirechte auf 444 setzen bei .htaccess und Passwort-Datei! Muss man aber dran denken, wenn man mal etwas ändern möchte.
Hier liegt sie doch im Joomla-Root, was ich nicht machen würde.
Ggf.muss passwd verschlüsselt sein, schau mal bein den FAQ von Strato.
Strato selbst bietet den .htaccess-Service nicht an.
Man muss sie selbst erstellen:
Z.B. hiermit:
https://www.htpasswdgenerator.de/
Und der Pfad in der passwd muss natürlich korrekt sein.
Eine verdächtige Seite wurde zu Ihrem Schutz blockiert
https://www.htpasswdgenerator.de/
Ihre Verbindung mit dieser Webseite ist aufgrund eines nicht übereinstimmenden Sicherheitszertifikats nicht sicher.
Das Zertifikat wurde also für eine andere Web-Adresse ausgestellt, als die, für die es genutzt wurde. Sie laufen beim Aufrufen der Seite Gefahr, dass Sie Ihre Daten offenlegen.
Hier liegt sie doch im Joomla-Root, was ich nicht machen würde.
Ich weiß. Wollte damit auch nur sagen, dass man PIN und Bankkarte nicht unbedingt zusammen aufbewahren sollte. Bedeutet aber nicht, dass man die PIN unsicher aufbewahren soll.
.adminpasswd liegt in einem Ordner im root,
Das ist nicht korrekt!
Sie muss .htpasswd heißen!
Das ist nicht korrekt!
Sie muss .htpasswd heißen!
Hab´s gerade mal bei meinem Hoster mit .testpasswd getestet und funktioniert einwandfrei.
bei meinem Hoster
Strato?
Wenn es so in der .htaccess definiert ist, ist es kein Problem.
Dann muss es bei der Erstellung mit einem Generator aber angegeben werden:
Strato?
Alfahosting. Solange die Datei mit einem "." anfängt und keine speziellen Zeichen hat funktioniert, scheint es zu funktionieren. Weiß nicht, ob Strato da irgendeine Beschränkung hat.
Orientiere dich an den absoluten Pfaden vom log- und tmp-Verzeichnis in der configuration.php. Auf gleiche Art und Weise nutzt du den Pfad in der .htaccess zur Datei .htpasswd. Die Pfade mit /mnt/.... schauen eigentlich ganz gut aus. Ich muss allerdings gestehen, dass ich keine Webseiten bei Strato habe, um da nachschauen zu können.
Hinweis: In der .htpasswd darf natürlich nicht der Begriff "Benutzername" drinstehen, sondern der eigentliche Benutzername. Das ist da oben in der Beispiel-Passwortdatei etwas unglücklich. Also so was in der Art:
superfriend: $apr1$bwDjLAeh$acRZPfvCVXCrZBbfO9yx //
Mein Passwortschutz schaut meist so in der Art aus:
AuthUserFile /var/www/....../.htpasswd
AuthGroupFile /dev/null
AuthName "example.de"
AuthType Basic
<Limit GET>
require valid-user
</Limit>Keine Ahnung, warum das bei dir auf deutsch steht.....