Beiträge von oxenator

Stef danke , ich habe csp eingeschaltet, der rest passte, mehr oder weniger.

SniperSister es ist keine Lücke bekannt...ist es theoretisch möglich in das suchfeld schadcode einzuschleusen? wenn ja, waere es doch sinnvoll auf die suche zu verzichten.

alles-ueber-litauen.de

Es würde mich wundern, wenn das nur für mich interessant ist.

Kann eigentlich über die joomla Suche Schadcode eingeschleust werden?

Danke an alle für die Tipps. Nicht so einfach und banal....Sieger66 trifft es gut. Ich werde alles ausprobieren, wenn ich wieder zu Hause bin. Das Thema ist halt wegen der vielen joomla Angriffe aktuell. Wäre ja auch mal interessant, wer von den "normalen " joomla Usern was von dem Plugin gehört hat. Ich habe gerade versucht einen Text von mysiteguru zu lesen, wo der Autor über die Komplexität der .htaccess Datei herzieht. Das ist alles nicht so einfach.

Zitat von Stef

Hier kannst du deine Seite testen:

https://securityheaders.com/

hab ich. ist aber nicht so einfach. zum beispiel: joomla.de/... alles gruen. downloads.joomla...nicht alles gruen. christiane wird wissen, wie sie sich schuetzt, ich mache mir inzwischen sorgen, weil es so viele angriffe gibt. lass ich das http header plugin in den grundeinstellungen, oder verbesser ich es?

Hallo Christine,

der chtgpt beitrag ist eindeutig gekennzeichtet (ab 1:36 nachgedacht). ausgegangen ist die idee von chrome lighthouse. ich habe von der jug zuerich folgenden beitrag gefunden, den ich jetzt befolgt habe.

Einen Moment bitte …

Hallo,

es gibt ein plugin mit dem namen system http headers.

chatgpt empfiehlt eine ziemliche veraenderung dieses plugins. ich kannte das bisher nicht. vielleicht will da mal jemand drueber gucken? hier der text. bisher habe ich nichts veraendert.

1m 16s nachgedacht

Ja, über die .htaccess wäre es möglich, aber bei Joomla 6 solltest du dafür besser die eingebaute Funktion „System – HTTP Headers“ verwenden. Joomla kann dabei automatisch Nonces beziehungsweise Hashes für interne Skripte erzeugen. Eine statische .htaccess kann keinen neuen Nonce pro Seitenaufruf generieren und erreicht deshalb nur schwer die von Lighthouse verlangte starke CSP.

Empfohlene Einrichtung in Joomla
1. HTTP-Headers-Plugin aktivieren

Im Joomla-Backend:

System → Verwalten → Plugins

Suche nach:

System – HTTP Headers

Das Plugin aktivieren und öffnen.

Achte darauf, dass dort nicht bereits manuell ein anderer Content-Security-Policy-Header eingetragen ist.

2. CSP-Konfiguration öffnen

Gehe anschließend zu:

System → Konfiguration → Content Security Policy

Je nach deutscher Übersetzung kann es auch Inhaltssicherheitsrichtlinie heißen.

Stelle zunächst Folgendes ein:

Einstellung Wert
Content Security Policy Aktiviert
Client Website / Site
Modus Erkennen / Detect
Nur berichten / Report-Only Aktiviert
Nonce Aktiviert
Skript-Hashes Aktiviert
Style-Hashes Aktiviert
frame-ancestors 'self' Aktiviert

Der Report-Only-Modus blockiert zunächst nichts. Er zeigt nur, welche Skripte, Schriftarten, Videos oder Erweiterungen später durch die CSP blockiert würden. Das ist wichtig, weil eine sofort aktivierte strenge CSP beispielsweise das Menü, das Kontaktformular, Cookie-Banner oder eingebettete Videos beschädigen kann.

3. Die Website testen

Öffne anschließend verschiedene Bereiche deiner Website:

Startseite
Kontaktformular
Suchfunktion
mobile Navigation
Seiten mit Videos
Seiten mit Karten oder externen Inhalten
Cookie-Banner

Danach findest du die Meldungen unter:

System → Verwalten → Content Security Policy

Dort zeigt Joomla die blockierten beziehungsweise erkannten Quellen an.

4. Wichtige Direktiven ergänzen

Im Modus Benutzerdefiniert / Custom solltest du mindestens diese Direktiven eintragen:

Direktive Wert
default-src 'self'
script-src 'self' 'strict-dynamic'
object-src 'none'
base-uri 'self'
form-action 'self'
frame-ancestors 'self'
img-src 'self' data: https:
style-src 'self' 'unsafe-inline'
font-src 'self' data: https:
connect-src 'self' https:

Bei YouTube-Videos müsste zusätzlich beispielsweise eine frame-src-Direktive hinzukommen:

'self' https://www.youtube.com https://www.youtube-nocookie.com

Chrome Lighthouse erwartet für den XSS-Test insbesondere eine wirksame script-src-Regel sowie object-src und base-uri. Nonces oder Hashes sind wesentlich stärker als eine reine Liste erlaubter Domains.

5. CSP wirklich aktivieren

Wenn deine Website im Report-Only-Modus vollständig funktioniert:

Modus auf Automatisch oder Benutzerdefiniert stellen.
Report-Only deaktivieren.
Cache von Joomla und Browser löschen.
Lighthouse erneut starten.

Erst dann wird der Header als

Content-Security-Policy

ausgeliefert. Solange dort

Content-Security-Policy-Report-Only

steht, meldet Lighthouse weiterhin:

No CSP found in enforcement mode

Nicht gleichzeitig .htaccess und Joomla verwenden

Lege die CSP entweder über Joomla oder über die .htaccess fest. Zwei CSP-Header werden nicht einfach überschrieben, sondern beide Richtlinien können gleichzeitig angewendet werden. Dadurch können unerwartet Skripte oder Inhalte blockiert werden. Joomla warnt ebenfalls vor doppelten Header-Einträgen.

Für deine Joomla-Seite ist deshalb diese Variante am sinnvollsten:

Joomla HTTP-Headers-Plugin + Nonce + zunächst Report-Only, danach Enforcement.

Achte darauf, dass dort nicht bereits manuell ein anderer Content-Security-Policy-Header eingetragen ist.

was heisst das? was soll drin stehen?
43s nachgedacht
da steht drin
1m 20s nachgedacht

Ja, das ist die richtige Stelle. Dort wird nicht der komplette CSP-Header eingetragen, sondern jede Regel einzeln.

Die vorhandene Zeile

default-src 'self'

bedeutet: Inhalte dürfen standardmäßig nur von deiner eigenen Domain alles-ueber-litauen.de geladen werden. Diese Zeile kannst du stehen lassen.

Einstellungen oben

Stelle zunächst Folgendes ein:

Einstellung Auswahl
Content Security Policy Aktiviert
Modus Benutzerdefiniert
Report-Only Aktiviert
Nonce Aktiviert
Script-Hashes Aktiviert
Style-Hashes Aktiviert
frame-ancestors 'self' Aktiviert

Bei Client zunächst immer Website/Site auswählen, nicht „Administrator“. Joomla kann Nonces und Hashes automatisch für Skripte und Styles erzeugen, die über die Joomla-API eingebunden werden.

Diese Regeln eintragen

Mit dem Pluszeichen jeweils eine neue Zeile hinzufügen:

Richtlinie Wert
default-src 'self'
script-src 'self' 'unsafe-inline' 'strict-dynamic' https:
style-src 'self' 'unsafe-inline' https:
img-src 'self' data: https:
font-src 'self' data: https:
connect-src 'self' https:
object-src 'none'
base-uri 'self'
form-action 'self'
frame-src 'self' https://www.youtube.com https://www.youtube-nocookie.com

Bei jeder Zeile als Client „Website/Site“ auswählen.

Wichtig: In das Feld „Wert“ kommt nur beispielsweise

'self' data: https:

also kein Semikolon und nicht noch einmal img-src.

script-src, object-src und base-uri sind für den Lighthouse-XSS-Test besonders wichtig. Chrome empfiehlt außerdem Nonces oder Hashes, da einfache Domain-Freigaben leichter umgangen werden können.

Anschließend testen

Speichern und danach prüfen:

Startseite
Menü auf dem Handy
Suchfunktion
Kontaktformular
Bildergalerien
eingebettete Videos

Falls etwas nicht funktioniert, zunächst Report-Only aktiviert lassen. In diesem Modus meldet der Browser Verstöße, blockiert aber noch nichts.

Wenn alles funktioniert:

Report-Only: Deaktiviert

Erst dann sendet Joomla den wirksamen Header

Content-Security-Policy

und nicht nur

Content-Security-Policy-Report-Only

Lighthouse erkennt eine CSP im Report-Only-Modus ausdrücklich nicht als aktive Schutzrichtlinie.

Die CSP solltest du danach nicht zusätzlich in die .htaccess schreiben, damit keine zwei unterschiedlichen Richtlinien gleichzeitig wirken.

das löschen hat problemlos geklappt. die jpa sicherungsdatei von akeeba ist schon etwas kleiner geworden.

danke viviana. ich glaube am anfang hatte ich mehrere webseiten in einer datenbank. über die jahre ist das immer mehr geworden. ich lösche einfach mal alle tabellen mit falschem praefix und sage dann bescheid.

also ich habe jetzt alle tabellen mit dem aktuellen praefix exportiert. das anwaehlen geht ja leicht. nun alle tabellen löschen und die exportierten tabellen wieder importieren? eigentlich kann ich ja dann auch gleich alle falschen praefixe löschen. bin ich eigentlich wieder der einzige der so viele verschiedene praefixe hat?

hatte ich heute versucht. ist scheinbar auch leicht, aber ich habe noch nie die datenbank wiederhergestellt. und was der bauer nicht kennt...

vollstaendiges website backup? das sollte alles sichern?

non core? kein plan...muss ich schauen

egal wer schneller war, das hilft mir schon. nur noch eine frage. ich soll die datenbank sichern. wenn ich schon ein backup der webseite gemacht habe, reicht das nicht auch?

In phpmyadmin habe ich festgestellt (eigentlich war es chatgpt), dass dort mehrere praefixe von vorherigen joomla installationen vorhanden sind. also mein aktuelles und ein paar andere. ich meine, durch diese vielzahl hatte die suchfunktion der seite probleme zu indexieren. nur eine vermutung. nun meine frage: gibt es das...mehrere praefixe, oder darf da eigentlich nur die aktuelle drin stehen? kann ich alles ausser dem aktuellen löschen? notfalls ein backup einspielen? wie sieht eure phpmaadmin aus?

skodi

ich danke dir, dass du dir überhaupt die Mühe machst über mein Problem nachzudenken. Viele Unterseiten ranken ziemlich gut, weil es nicht viele Webseiten gibt, die ausführlicher über diese Orte in Litauen berichten. Vor ein paar Jahren rankten Seiten bei google unter dem Begriff "Litauen" ganz oben, obwohl der Content vollkommen Schrott war. Letztens war ich bei einem Joomla Treffen in Essen. Neben Ignalina ranken auch Vilnius und Kaunas (uvm.) nicht so schlecht, auch weil ich öfter dort bin und echte Fotos von echt besuchten Orten liefere. Nicht immer perfekt, zugegeben. Über deinen Tipp, die oberen Suchergebnisse mal zu analysieren, werde ich mir Gedanken machen.

Gruss,

Andreas

Ich möchte gerne bei der Suche nach "Litauen" vorne liegen. Ich hoffe deine Tipps jetzt endlich alle umgesetzt zu haben. Danke dir!

Danke für die Antworten. JoomlaWunder: die Startseite sollte auch nicht so groß sein, sondern die weiteren Beschreibungen von Litauen, Ziele, Geschichte etc . stehen ja in den Menues darunter. Ich glaube, die Seite (insgesamt) bietet den meisten Content über Litauen und der 50. Platz bei den Suchergebnissen ist deshalb unbefriedigend. Hat sicher einen Grund. Und den würde ich gerne wissen.

@ Sieger66, habe deinen Vorschlag durchgeführt. Mal sehen (Mit der Suche nach Litauen: hast du Recht. Habe ich noch nie drüber nachgedacht.)

Danke!

Hallo,

ich bin mit dem Ranking eines der wichtigsten Wörter meiner Webseite nicht zufrieden.

Litauen - Reiseziele, Kultur und litauische Geschichte!

Ich möchte dort gerne unter dem Begriff "Litauen" gefunden werden. Früher war das auch recht gut, heute sehr unbefriedigend.

Frage: Wenn ich nun die Hauptseite auf die url https://alles-ueber-litauen.de/litauen lege, also quasi die Startseite in ein Unterverzeichnis lege und die bisherigen Verlinkungen mit "Weiterleitungen" auf diese Unterseite verweise, könnte dass das Ranking des Suchbegriffes "Litauen" verbessern Das ist zumindest so bei meinen anderen Unterseiten. Die werden speziell unter dem thematisierten Begriff gut gerankt.

Hat da jemand von euch eine Meinung oder Erfahrungen zu?

Entschuldigung.

Die Nachricht ist zu kurz. Der Text muss mindestens 2 Wörter enthalten.

time4mambo das hoert sich plausibel an. allerdings ist die haeufigkeit, mit der das ehemalige topmenue auftaucht, ueber 100.000 mal, schon beaengstigend. ist ja nicht das erste, was ich was auf der seite geloescht habe, aber warum sollte ein bot statt "litauen/mehr-litauen" (wie die menuestruktur war) nach litauen-geschichte/mehr-litauen/mehr-litauen/mehr-litauen etc. suchten. ich denke da ist was faul. und von mir verursacht, weil es bei niemandem anderen aufgetaucht ist.