Hallo!
Ich bin frisch dabei - von Postnuke umgestiegen. Bzw aufgestiegen. Was mir allerdings etwas spanisch vorkommt bei Typo3 ist der Sicherheitsaspekt. Hier ein paar Bespiele.
1) Wenn man sich am Backend versehentlich als "admim" - aber mit richtigem passwort - einloggt, so wird prompt eine eMail rausgeschickt an die Administratoradresse, wo dieses richtige passwort im plaintext drinsteht.
2) Wenn man sich über sr_feuser_register registriert, bekommt man einen bestätigungslink zugesandt, der das passwort im plaintext in der url enthält!
3) Die FE-Userpasswörter werden im Plaintext in der DB gespeichert.
4) Jedesmal, wenn ein User seine Daten nur ändert (sr_feuser_register) - also zB seinen Nachnamen korrigiert - bekommt der Admin ein Mail, wo das Passwort des Users drinsteht.
Ich weiß, daß man alle dieser Bestätigungsmails abschalten und per templates verändern kann, bei Softwaresicherheitsaspekten gehts aber häufig um die Defaulteinstellungen (man denke an Windows) und nicht (nur) darum, was man durch Eingriffe erreichen kann. Ich weiß auch, daß man die URLs mit irgendeinem Modul hashen kann, da wäre dann das Passwort natürlich mitgehasht. Allerdings möchte ich mich erst einmal einarbeiten, bevor ich mich mit so "zusätzlichen - nicht wirklich notwendigen" Modulen auseinandersetze. Hier gilt wieder das Argument von oben (Defaulteinstellungen).
So - how secure is typo3 ?
And how to secure typo3 ?