Hallo zusammen!
Ich möchte gerne für unsere Webpräsenz einen FE-Login für Kunden erstellen, der es ihnen dann ermöglicht, je nach Kunde entsprechende Seiten zu sehen und Zugriff auf bestimmte Daten (Dokumente etc.) zu haben.
Da es sich bei diesen Daten durchaus um sensible Geschäftsdaten handeln kann, ist die Sicherheit natürlich extrem wichtig.
Daher folgende Fragen:
- Wie sicher ist es, diese Geschichte über die TYPO3-eigene Möglichkeit mit FE-Usern zu realisieren?
- Welche anderen Möglichkeiten als die TYPO3-Benutzerverwaltung gibt es, um geschützte Bereiche zu realisieren?
- Eine ganz blöde Frage: Können Dokumente, die nur für bestimmte User abzurufen sein sollen, nicht auch evtl. durch Suchmaschinen o.ä. "gefunden" werden bzw. wie könnte ich das vermeiden?
Ich wäre echt happy, wenn mir da jemand etwas zu erzählen könnte.
Vielen Dank schonmal!
Gruß
XCylo7
XCylo7 schriebDaher folgende Fragen:
- Wie sicher ist es, diese Geschichte über die TYPO3-eigene Möglichkeit mit FE-Usern zu realisieren?
Die eigentlichen Seiteninhalte / Texte liegen in der Datenbank und werden nur nach Anmeldung eines entsprechenden Benutzers ausgelesen, daher würde ich sagen, dass ist verhältnismässig sicher.
Wenn es aber wirklich sensible Daten sind, solltest Du bedenken, dass
1. Fehler in den Typo3 Scripten
2. Belauschen der nicht Verschlüsselten Benutzeranmeldung (oder benutzt du SSL?)
wenigstens zwei Gefahrenquellen sind.
Was die von Dir erwähnten Dokumente betrifft, so ist es noch schlimmer. Diese liegen einfach im fileadmin Verzeichnis und jeder, der den Namen des Dokuments kennt kann es ausrufen. Hierfür solltest Du auf jeden Fall mal die Extension NF-Download betrachten, die speichert die Dokumente nämlich ausserhalb des Webservers...
XCylo7 schrieb- Welche anderen Möglichkeiten als die TYPO3-Benutzerverwaltung gibt es, um geschützte Bereiche zu realisieren?
Du kannst auch mittles .htaccess Dateien geschützte Bereiche erstellen, was bis auf die wiederum nicht verschlüsselte Anmeldung guten Schutz bietet.
XCylo7 schrieb- Eine ganz blöde Frage: Können Dokumente, die nur für bestimmte User abzurufen sein sollen, nicht auch evtl. durch Suchmaschinen o.ä. "gefunden" werden bzw. wie könnte ich das vermeiden?
Da Suchmaschinen immer nur den von Ihnen gefundenen Links folgen sollte Sie nicht in Deine geschützten Bereiche schauen.
CU
maxhb
maxhb schriebDu kannst auch mittles .htaccess Dateien geschützte Bereiche erstellen, was bis auf die wiederum nicht verschlüsselte Anmeldung guten Schutz bietet.
Hm, gut, das klingt zumindest besser als die TYPO3-seitige Lösung. Ist es denn prinzipiell per .htaccess möglich, eine SSL-Verschlüsselung zu nutzen? Wenn ja, wie? Habe mich leider mit dem ganzen Thema .htaccess bzw. auch sämtliche möglichen Verschlüsselungen bisher noch nicht auseinander gesetzt. Wenn sich das Ganze aber einigermaßen gut und sicher realisieren läßt, wäre das schon toll.
Danke schonmal für die Hilfe!
Gruß
XCylo7
Hi!
XCylo7 schriebIst es denn prinzipiell per .htaccess möglich, eine SSL-Verschlüsselung zu nutzen?
.htaccess und SSL sind grundlegend verschiedene Dinge.
SSL ist ein Protokoll zur gesicherten Übertragung von Daten, erkennt man oft daran, dass eine URL folgendermassen aussieht: https://www.sicheredomain.de.
Das hat im Prinzip nichts mit einer Benutzeranmeldung zu tun, sondern nur mit der abhörsicheren Übertragung von Daten zwischen Client und Server.
.htaccess Dateien sind hingegen ein Mechanismus, den Webserver anzuweisen, bestimmte Einstellungen für ein bestimmtes Verzeichnis vorzunehmen. Eine dieser Einstellungen ist der genannte Passwortschutz.
Alles in allem kann man aber sagen, dass beides natürlich auch zusammen arbeitet.
CU
maxhb
Hey, Danke für die schnelle Antwort.
Dann werde ich mich jetzt wohl mal mit den Möglichkeiten von .htaccess befassen 🙂
Sicher sollte das ganze nämlich schon sein. Bis hierher jedenfalls schon mal vielen Dank!
Gruß
XCylo7