website schützen

[joe (Gast)]

Hallo,

ich habe mir ein Dokuwiki eingerichtet. Ist rein privat... möchte es 
aber online gehostet haben (Zugriff von überall).
Es sind keine wirklich sensible Daten gespeichert, trotzdem möchte ich 
maximale Sicherheit.

Dokuwiki hat von sich aus schon eine Password, ohne das man nicht 
zugreifen kann.

Was kann man noch machen?
htaccess?


Ein Freund meinte ohne https bringt das alles nichts. Das bekomme ich 
aber nicht eingerichtet (bin bei strato).

Hat jemand tips?

Danke

[Noch einer (Gast)]

Das Https musst du sowieso bald einrichten.

Mit jedem Browserupdate werden die Warnungen nervtötender. Bald sind die 
so eindringlich, dass niemand mehr bei Http sein Passwörter eintippt.

[Hans (Gast)]

Wenn Strato kein Let's encrypt kann, dann such dir einen anderen Hoster.

Htaccess ist für deine Zwecke schon das beste, da ein Angreifer gar 
nicht erst auf möglicherweise unsichere scripte zugreifen kann.

Früher hätte da niemand was verschlüsselt. Dennoch kann halt jeder 
mittlerweile SSL Zertifikate erzeugen. Solltest du bei Strato aber 
wirklich keine Zertifikate einbinden Kunden, dann lass es.

[Schattentroll (Gast)]

Jeder Hoster stellt heutzutage SSL zur Verfuegung. Falls nicht : next.

[pegel (Gast)]

Muss es wirklich ein öffentlicher Server sein?

Eine moderne FritzBox bietet doch alles was man braucht um seine Daten 
im Haus zu lassen.

- Email Benachrichtigung bei Erhalt einer neuen IP
- WOL um seinen Server zu Hause einzuschalten

Den Server kann man dann beliebig ohne Zusatzkosten einrichten und auch 
die öffentliche IP aus der Ferne neu beziehen.
Bei heutigen Uploads von 1 Mbit ist das auch nicht sooo langsam.

[Hans (Gast)]

Statt hoster gibts noch den eigenen VPS (Liste günstiger Anbieter: 
http://www.lowendbox.com/)

oder google (Google Apps for Work um 4.-)...
also domain anmelden (do.de wurde hier mal empfohlen... habe jetzt auch 
gute erfahrungen mit denen gemacht), und auf die google server 
umbiegen...
dann läuft Gmail und Google Sites auf der eigenen domain


73

[Toto mit Harry (Gast)]

Beim aktuellen Strato Angebot gibt's im Moment für 1€ im Jahr ssl dazu, 
sicher das Du das nicht hast? Manchmal ist das nur ein ssl Proxy.

[K. J. (Gast)]

joe schrieb:
> Hallo,
>
>
> Dokuwiki hat von sich aus schon eine Password, ohne das man nicht
> zugreifen kann.

OAut nutzen es gibt diverse Plugins womit du andere OAut-Systeme nutzen 
kannst von Google,twitter,F.....

Hilft aber nicht gehen Bugs die Ausgenutzt werden.

>
> Was kann man noch machen?
> htaccess?
>
Gutte idee wie oben schon genant wurde verhindert zuverlässig das man an 
die daten kommt und damit können dan. erstmal auch keine Bugs vom 
Dokuwiki ausgenutzt werden.

[MaWin (Gast)]

pegel schrieb:
> Muss es wirklich ein öffentlicher Server sein?
>... FritzBox ...
>... aus der Ferne ...

Das was du beschreibst IST ein öffentlicher Server.

[Daniel A. (daniel-a)]

Ich hoste solche Dinge immer selbst. Wenn du das von einem anderen 
Anbieter erledigen lässt, und es nur ein Webserver, und kein Root-Server 
ist, dann kann nur der Anbieter SSL/HTTPS Konfigurieren. Ohne SSL kann 
jeder in der Leitung deine Passwörter mitlesen die du auf der Seite 
eingibst.

Einige andere Dinge auf die man achten muss:
 * Direcktzugriff & Skriptausführung in upload foldern verbieten (z.B. 
mit .htaccass, falls vom Anbieter erlaubt)
 * Kein FTP nutzen
 * Dinge wie CMS usw. regelmässig Updaten

Da Let's Encrypt gratis Zertifikate ausstellt, ist es eigentlich eine 
Schweinerei dass Hosting Provider dafür noch Geld verlangen.

[pegel (Gast)]

MaWin schrieb:
> Das was du beschreibst IST ein öffentlicher Server.

Ja, hast recht.
Ich meinte im Sinne von Dienstleister.

[Mitarbeiter (Gast)]

Daniel A. schrieb:
> Da Let's Encrypt gratis Zertifikate ausstellt, ist es eigentlich eine
> Schweinerei dass Hosting Provider dafür noch Geld verlangen.

Das darf man aber so pauschal nicht sagen. LetsEncrypt verteilt 
Zertifikate nur nach Domain Validation. D.H. es gibt ein grünes schloss 
im Browser. Gegen mehr Geld gibts halt noch Extended Validation 
Zertifikate die nicht nur beweisen sollen, das die Domain die ist die du 
eingegeben hast, sondern auch zu der Organisation (z.b. Bank) gehört die 
du erreichen willst. Das darf ruhig was kosten.

Aber ansonsten schließe ich mich der Mehrheit hier an: wenn der Hoster 
jetzt immer noch kein LetsEncrypt unterstützt dann wechsel woanders hin.

Empfehlung:
Udmedia, bin nun knapp 1.5 Jahre dort und bisher zufrieden mit Preis und 
Leistung. LetsEncrypt gibts per einmaligem Knopfdruck.