May 23
El 7 de Junio el grupo PHP Barcelona organiza la Primera Barcelona PHP Workshop
Entre otras se podrá aprender:
Creo que es un iniciativa excelente para iniciarse en aquellos aspectos que parecen lejanos para “algunos”
Podeis inscribiros aquí (Yo no podré asistir por estar de vacaciones los 3 dias del fin de semana en Tenerife)
Abr 28
Volviendo un poco a la seriedad y siendo hoy el Día internacional de la seguridad, me estaba planteando en crear una pequeña primera Guia de Seguridad para tiendas online, que básicamente se podría portar a casi cualquier aplicación PHP.
php.ini (Configuración general del PHP, si phpsuexec activado, tendremos que editarlo en la carpeta de la aplicación que vayamos a programar)
httpd.conf (configuración del apache)
.htaccess (sobreescribir las directivas del php.ini si nos lo permiten y no está activado phpsuexec)
Para tener una primera vision de la configuración general, y valorar si tenemos puntos comprometidos, deberemos crear un archivo php con el siguiente código y visitarlo con nuestro navegador:
<?php phpinfo() ?>
1) No mostrar errores a nuestros intrusos, para ello definiremos en el .htaccess
php_flag display_errors Off php_flag log_errors On php_value error_log "Ruta completa al fichero de log"
- Que no se muestren los errores en pantalla, y cambiarlo a que se guarden en la maquina en un fichero local solo accesible para el webmaster.
2) El famoso Register globals que por defecto ahora viene desactivado. En las tiendas oscommerce a partir de la RC1 ya no hace falta tenerla activada (en MS2 y anteriores si), por lo que ya no tendremos ese problema de configuración. Tenerlo activo no es un problema de seguridad en sí, si el código está bien implementado, pero si por defecto ya viene desactivado, estamos obligados a no jugar con “fuego” al poder pasar parámetros por GET y POST dentro de las variables globales de nuestra aplicación. Para desactivar esta directiva:
php_flag register_globals Off
3) Usar SAFE_MODE o no… en mi opinión solo és útil para servidores compartidos, donde hay varios usuarios, y así evitar que unos accedan o incluyan los ficheros de los otros. El único y gran problema es que al tenerlo activo, tendremos incompatibilidades con otros módulos y funcionalidades. Habría que valorar si es realmente necesario tenerlo activo en nuestro servidor.
4) Doble protección de nuestros ficheros de administración. Por ejemplo… toda la carpeta administrador o backend de la aplicación implementar protección mediante formulario de login, y además añadir protección mediante apache desde nuestro panel de control de hosting o a mano.
5) Denegar el acceso a nuestros directorios y ficheros de configuración o “sensibles” con la siguiente instrucción en el .htaccess (dentro del directorio donde se encuentran los archivos a proteger)
Proteger ficheros php:
<Files *.php> Order Deny,Allow Deny from all </Files>
Proteger todos los ficheros del directorio que se especifique:
<Directory /includes> Order Allow,Deny </Directory>
6) Sistemas de pago. El más sensible sin duda es la tarjeta de crédito. Los más seguros son los que usan webservices, y sin salir de la web, pero a día de hoy solo es viable con BBVA y algún otro banco. Mi recomendación es usar el sistema TPV de servired, que podremos encontrar en casi todas las cajas y caixas (La caixa, Caixa catalunya, Caja madrid, etc) que através de una firma Sha1 completa ampliada y una clave personal se transmite la información de forma “segura” entre la página del banco (quien se encargará por nosotros de recoger los datos de la tarjeta y comprobar su veracidad) y nuestra tienda, que será la que reciba la confirmación y autorización del pago.
Feb 26
El pasado sábado se celebró la PHP Conference Barcelona, la cual obtuvo un lleno de asistentes que en principio no se esperaban. El evento tenia limitado a 60 el numero de participantes y se tuvo que ampliar la sala a 150 asistentes.
Lo mejor del evento la ronda de preguntas de la certificación Zend en vivo a los asistentes, fue realmente curioso y divertido.
Otro de los puntos que me gustó mucho fue el de seguridad y velocidad en los servidores APACHE + PHP + MYSQL , os dejo los slides que allí se presentaron:
Presentaciones:
http://www.slideshare.net/arnoschn/continuous-integration-and-php
http://www.slideshare.net/orioljimenez/optimizacin-de-aplicaciones-php-server-side
http://www.slideshare.net/maguilar/phpbarcelona-conference-optimizacin-aplicaciones-php-client-side
http://www.slideshare.net/carlosbuenosvinos/certificacion-zend-en-vivo-php-barcelona-2008
http://www.slideshare.net/bermi/introduccion-al-akelos-php-framework
Por último aquí os dejo el vídeo del evento, realmente conseguido:
[youtube]http://www.youtube.com/watch?v=IGoR0iXuvbw [/youtube]
Feb 13
El próximo sábado 23 de febrero se organiza la Barcelona PHP Conference
En un principio las plazas eran limitadas para 60 personas, pero visto el éxito de inscripciones que está obteniendo, han decidido trasladarse a una sala más amplia por lo que aún quedan plazas disponibles, y si no estoy mal informado a día de hoy 13 de Febrero hay ya 90 inscritos. Entre ellos Bermi Ferrer (Compañero de Adlemons) y Jordi Catà (Buen amigo fruto del Networking).
La noticia también ha sido notificada y publicada en Barrapunto: Ver noticia
Para inscribirse, tan solo hace falta darse de alta como usuario, y luego en la noticia del evento buscar al pié de la misma el botón de inscripción.
