Sicherheit und Protokolle verwalten
Aktuelle Komponenten und nachvollziehbare Zugänge sind die Grundlage für einen sicheren Betrieb. ConcreteCMS bietet Einstellungen für HTTP-Sicherheitsheader, Fehlerausgabe und Protokollierung. Testen Sie Änderungen daran in einer Kopie, bevor sie die öffentliche Website betreffen.
Zugänge und Updates kontrollieren
Kontrollieren Sie zuerst HTTPS, gültige Zertifikate, aktuelle Core- und Paket-Versionen sowie die Konten mit Administrationsrechten. Prüfen Sie, ob Dateirechte nur die benötigten Verzeichnisse beschreibbar machen. Ein versteckter Navigationspunkt oder eine öffentliche URL ohne sichtbaren Link ersetzt keine Berechtigung; dazu passt Berechtigungen und Sichtbarkeit prüfen.
Planen Sie Updates mit Sicherung und Testkopie. Updates vorbereiten und durchführen erklärt die Reihenfolge. Entfernen Sie nicht mehr verwendete Pakete nur, wenn Sie ihre Datenabhängigkeiten verstanden und eine Wiederherstellung getestet haben.
Sicherheitsrichtlinien vorsichtig konfigurieren
Unter Verwaltung → System & Einstellungen → Umgebung → Sicherheitsrichtlinien stehen Felder für Content Security Policy (CSP), Strict-Transport-Security (HSTS) und X-Frame-Options. Die Seite warnt, dass falsche Werte Zugriffe beeinträchtigen können. CSP beschränkt etwa Quellen für Skripte oder Bilder; HSTS bindet Browser an HTTPS; X-Frame-Options beeinflusst das Einbetten in Frames. Kopieren Sie keine fremde Headerliste ungeprüft in ein Theme, das zusätzliche lokale Assets oder externe Dienste verwendet.
Abbildung 1: Die Sicherheitsrichtlinien bieten Felder für CSP, HSTS und X-Frame-Options.
Testen Sie neue Header zunächst auf einer Staging-Domain. Öffnen Sie Login, Formulare, Dateidownloads und Bearbeitungsmodus. Prüfen Sie Browserkonsole und Serverprotokoll auf blockierte Ressourcen. Aktivieren Sie HSTS erst, wenn HTTPS für alle betroffenen Hosts zuverlässig funktioniert. Die Entwicklung unter HTTP ist kein Beweis für das spätere Verhalten unter HTTPS.
Fehlermeldung und Protokoll unterscheiden
Unter Umgebung → Fehlerbehandlung wird gesteuert, welche Fehlertypen die Ausführung abbrechen, welcher Schweregrad protokolliert wird und was Besucher sehen. Eine detaillierte Debug-Ausgabe kann Pfade, Abfragen oder andere interne Angaben offenlegen. Für eine öffentliche Website sollte die Besucherausgabe knapp bleiben; Details gehören in ein geschütztes Protokoll. Ändern Sie nicht blind die Anzeige für alle Fehler zugleich, sondern lösen Sie auf einer Testkopie einen bekannten Fehler aus und prüfen Sie Gastansicht und Logeintrag getrennt.
Unter Umgebung → Protokolleinstellungen wählen Sie einfachen oder erweiterten Modus, Schwellenwert, Datenbank- oder Dateihandler und einzelne Kanäle. Die aktuelle Ansicht zeigt auch Optionen für gesendete E-Mails und API-Anforderungsheader. Solche Protokolle können personenbezogene Daten oder vertrauliche Header enthalten. Aktivieren Sie sie nur mit festgelegtem Zweck, begrenztem Zugriff und einer Aufbewahrungsregel. Veröffentlichen oder versenden Sie nicht ungeprüft komplette Logdateien.
Abbildung 2: Die Fehlerbehandlung trennt öffentliche Anzeige und Protokollierung.
Die eigentlichen Einträge finden Sie unter Berichte → Protokolle. Suchen Sie nach Zeitpunkt, Kanal und Schweregrad eines beobachteten Problems. Prüfen Sie, ob die angezeigte Meldung zur betroffenen Anfrage passt, bevor Sie aus einem einzelnen Logeintrag auf einen Fehler der ganzen Website schließen. Formularergebnisse und Berichte prüfen ordnet weitere Berichte ein.
Weiterlesen
- Anmeldung und Registrierung konfigurieren
- Updates vorbereiten und durchführen
- Formularergebnisse und Berichte prüfen
Quelle: Concrete CMS Dokumentation (EN) · Stand: ConcreteCMS 9.5.7