Quant'è sicuro joomla in un ambiente professionale ?

[utente00]

Salve a tutti ! Voglio fare una approfondita chiaccherata con voi , e capire se è possibile utilizzare questo bellissimo cms di nome " joomla"  in un ambiente professionale.

Per ambiente professionale  ipotizzo un sito con migliaglia di accessi al giorno . Continuamente esposto ad un infinita di accessi . Rendendo piu chiaro lo scenario  ipotiziamo che si tratta di un sito  famosissimo  come Expedia , repubblica.it, o magari beppegrillo.it .

Voi affidereste un sito simile ad un cms come joomla ? Esiste un sito famosissimo che usa joomla ?


Io guardando un attimo la sezione "Sicurezza"  di questo forum , mi sono venuti i brividi ! In continuazione ci sono vulnerabilità. Andarci dietro giornalmente si esce pazi .

 Ma portali grandi come quelli che citavo , a cosa si affidano ?

[mau_develop]

che discorso stai facendo?

certo che ci sono siti famosi fatti con Joomla,... si è anche guadagnato dei bei premi.

hai guardato la sezione sicurezza... hai visto a cosa sono dovute le vulnerabilità?

Hai visto le sezioni sicurezza di qualsiasi sw serio?

Non c'è da fare approfondite chiacchierate... se hai un cliente importante avrai anche una struttura importante contecnici che aldilà di ciò che si scrive sapranno sicuramente valutare questo cms.

, ipotizzo un sito con migliaglia di accessi al giorno . Esposto continuamente ad un infinita di accessi .
-------------------------------------------------------------------------------------------------------------------------------------------
inizia a mettere in preventivo un 2/300 euri al mese per un bel server dedicato.

M.

[tonicopi]

Le nazioni unite ti bastano come referente?
http://www.unric.org/it/
Il sito delle in formazioni dell'anas:
http://www.ndparking.com/infoanas.it
La foppa pedretti:
http://www.foppapedretti.it/
la mercedes:
http://www.be-smart.it/
e via discorrendo...
E poi che problemi ci sono se ti attaccano? Basta avere una copia e via.... 

[utente00]

che discorso stai facendo?

Provo a fare un discorso serio e pacato , sperando in risposte piu obiettive possibili . Quindi meglio evitare fan che sventolano la bandiera joomla .  E con questo voglio comunque precisare che adoro joomla ! Lo uso da tanto e per tanti portali , ma ovviamente i siti che ho fatto con joomla non posso paragonarli a expedia.it o beppegrillo.it

certo che ci sono siti famosi fatti con Joomla,... si è anche guadagnato dei bei premi.

Perfetto ! E' quello che speravo . Puoi per piacere elencarne qualcuno .

hai guardato la sezione sicurezza... hai visto a cosa sono dovute le vulnerabilità?

Ho dato un occhiata veloce , e la cosa che mi saltava subito all'occhio era la parola " vulnerabilità"e "fix", queste due parole  ripetute un migliaglio di volte .Non riguardano direttamente la sicurezza di joomla ?

Hai visto le sezioni sicurezza di qualsiasi sw serio?

No

Non c'è da fare approfondite chiacchierate... se hai un cliente importante avrai anche una struttura importante contecnici che aldilà di ciò che si scrive sapranno sicuramente valutare questo cms.

Si ma perchè ogni volta che sento parlare di joomla o simili , quasi tutti rispondono sistematicamente : Molto bello , ma va bene solo per iniziare , per cose piu professionali e grandi serve altro

inizia a mettere in preventivo un 2/300 euri al mese per un bel server dedicato.

Ho gia un server dedicato , e pago  180 euro al mese . Una compagnia abbastanza famosa,  mi trovo molto bene , professionalità e supporto ai massimi livelli .

[utente00]

Le nazioni unite ti bastano come referente?
http://www.unric.org/it/
Il sito delle in formazioni dell'anas:
http://www.ndparking.com/infoanas.it
La foppa pedretti:
http://www.foppapedretti.it/
la mercedes:
http://www.be-smart.it/
e via discorrendo...

siti rilevanti , sicuramente quello delle nazioni unite , pero mi sembrano eccezioni rare. E poi li ci sarà sicuramente un amministratore dedicato 24 ore su 24 che si traduce in : backup continui , al primo problema riuppa in un istante e poi fixa subito.

Comunque  dipende che cliente ti trovi davanti e cosa devi fare , non puoi dire :

E poi che problemi ci sono se ti attaccano? Basta avere una copia e via.... 

Se gli rispondo cosi , mi accompagnano alla porta e forse mi danno pure un calcio in culo

Ripropongo questa domanda : Perchè ogni volta che sento parlare di joomla o simili , quasi tutti rispondono sistematicamente : Molto bello , ma va bene solo per iniziare , per cose piu professionali e grandi serve altro
..... A cosa "altro" si riferiscono ?

Capisco che è difficile essere obiettivi  in un forum chiamato joomla.it . Forse potevo risparmiarmi questa discussione qui

[tonicopi]

Per carità non voglio banalizzare utente00, ma guarda che il segreto della tranquillità sta proprio nell'avere copie di backup frequenti e sicure! Così fanno tutti coloro che hanno dati importanti da conservare con assoluta sicurezza.
L'assoluta sicurezza di un sito web non esiste nè con joomla nè con nessun altro sistema. Esiste una sicurezza di buon livello. E su questo a mio avviso joomla compete con con qualsiasi altro sistema. Certo vanno usati degli accorgimenti proporzionati all'importanza dei dati che devi difendere. Usare joomla NON aggiornato, con user admin e password 12345678, senza aver abilitato .htaccess e senza aver modificato il prefisso delle tabelle e altri piccoli accorgimenti non è molto prudente. Ma se non devi fare il sito della CIA puoi usarlo benissimo.
Venendo a questa domanda:

Ripropongo questa domanda : Perchè ogni volta che sento parlare di joomla o simili , quasi tutti rispondono sistematicamente : Molto bello , ma va bene solo per iniziare , per cose piu professionali e grandi serve altro

provo a rispondere. Perchè chi fa quell'affermazione magari è un bravo programmatore e preferisce venderti il sito fatto da zero da lui (che poi usa anche lui le sue belle parti standardizzate e magari anche meno sicure di joomla) a un prezzo dieci volte superiore a quello che ti dovrebbe prendere usando joomla! 

[carlodamo]

Per carità non voglio banalizzare utente00, ma guarda che il segreto della tranquillità sta proprio nell'avere copie di backup frequenti e sicure! Così fanno tutti coloro che hanno dati importanti da conservare con assoluta sicurezza.
L'assoluta sicurezza di un sito web non esiste nè con joomla nè con nessun altro sistema. Esiste una sicurezza di buon livello. E su questo a mio avviso joomla compete con con qualsiasi altro sistema. Certo vanno usati degli accorgimenti proporzionati all'importanza dei dati che devi difendere. Usare joomla NON aggiornato, con user admin e password 12345678, senza aver abilitato .htaccess e senza aver modificato il prefisso delle tabelle e altri piccoli accorgimenti non è molto prudente. Ma se non devi fare il sito della CIA puoi usarlo benissimo.
Venendo a questa domanda: provo a rispondere. Perchè chi fa quell'affermazione magari è un bravo programmatore e preferisce venderti il sito fatto da zero da lui (che poi usa anche lui le sue belle parti standardizzate e magari anche meno sicure di joomla) a un prezzo dieci volte superiore a quello che ti dovrebbe prendere usando joomla! 

concordo punto per punto con tonicopi, sembra abbia letto nella mia mente, complimenti!

[mau_develop]

Molto bello , ma va bene solo per iniziare , per cose piu professionali e grandi serve altro
-----------------------------------------------------------------------------------------------------------

1) mi piacerebbe conoscere chi ha questi pensieri
2) mi piacerebbe sapere quali sono queste cose "più professionali",.. se ha un account glielo recupero
3) stare a criticare la sicurezza di Joomla e poi metterlo sul server da 20 euro all'anno è molto buffo
4) Certo che sono un fan di Joomla, ho aperto i files, mi sono  guardato il codice, studiato il framework e ho deciso che l'avrei adottato.
5) Le valutazioni del cuggino smanettone valgono l'aria che usa, se insicuro..perchè, se non veloce perchè, se peggio di altri perchè.

E poi li ci sarà sicuramente un amministratore dedicato 24 ore su 24 che si traduce in : backup continui , al primo problema riuppa in un istante e poi fixa subito.
----------------------------------------------------------------------------------------
Questa è simpaticissima... ma ce l'hai sto cliente o stai fantasticando?... come pensi di gestire un cliente così importante? gli installi il sito e lo saluti?

E poi sono tutte operazioni che se hai un server dedicato sono automatiche.

E se il cliente importante ha un impiegato stupido che scrive la pw di accesso sul postit attaccato al video?

Secondo me tutto questo discorso è puramente basato sul nulla e non da parametri, solo una discussione da bar, che un cliente importante non meriterebbe.

M.

PS
Ho dato un occhiata veloce , e la cosa che mi saltava subito all'occhio era la parola " vulnerabilità"e "fix", queste due parole  ripetute un migliaglio di volte .Non riguardano direttamente la sicurezza di joomla ?
-------------------------------------------------------------------------------------------------------------------
... non leggere mai un'enciclopedia medica....

[56francesco]

mah..
in un ambiente professionale, come tutti i software e i siti che stanno in rete,  joomla sarà sicuro in maniera direttamente proporzionale alle competenze tecniche del suo staff..
diciamo che il sito del corsera in mano mia sarebbe certamente destinato ad essere spernacchiato dopo qualche secondo, senza considerare quante fesserie potrei combinare io stesso senza alcun aiuto esterno..
a prescindere anche dalle competenze, infatti per garantire una adeguata presenza 24 ore su 24 e 7 giorni su 7  occorrono turni di lavoro ben precisi,  il tutto quindi andrebbe oltre le mie possibilità   a prescindere dal software, dal server ecc.. ecc..

anche per questo motivo  molti giornalisti seri  preferiscono i blog  gratuiti come ad esempio il cannocchiale e similari  dove uno staff certamente competente ed adeguato segue la "macchina" giorno e notte...

[ellezero]

mah..
in un ambiente professionale, come tutti i software e i siti che stanno in rete,  joomla sarà sicuro in maniera direttamente proporzionale alle competenze tecniche del suo staff..

condivido in pieno. e, a questo proposito

E poi li ci sarà sicuramente un amministratore dedicato 24 ore su 24 che si traduce in : backup continui , al primo problema riuppa in un istante e poi fixa subito.

E cos'e' allora sicurezza?
Pensi che esista qualcosa che davvero non si puo' bucare? La sicurezza di un sito e' un lavoro costante, di aggiornamento, monitoraggio e studio.

Forse sono babba io che non faccio siti x le naz unite ma bukappo settimanalmente i miei siti. tutti.
D'altro canto, mi pagano x questo, al pari di come mi hanno pagato x realizzare una rete dell'uff che preveda accessi limitati e backup automatici.
non e' forse la stessa cosa?

Il software e' software (e in questo caso scritto bene) ma sta al tecnico o al realizzatore manutenere e rendere sicuro un sito, perche anche questo e' il suo lavoro.
imho.

[mmleoni]

ciao utente00,
hai scatenato un bel vespaio   ma di tanto in tanto ci vuole se la discussione è pacata come la tua...
 
ti dico la mia, dato che un po' di esperienza la ho.

Joomla! solo per iniziare?
va bene anche per continuare, dipende da che devi fare. ti servono supporto multilingua flessibile, ACL ben profilate, undo delle operazioni, possibilità di lavorare in draft e live space e catene di autorizzazioni delle pubblicazioni? non va bene neanche per iniziare, vediti typo3: questa è la soluzione professionale per eccellenza.
joomla, drupal, wp e gli altri non sono un pianeta diverso, sono proprio in un'altra galassia. (so anche essere obiettivo)

Sicurezza
ogni software ha i suoi problemi, chi più chi meno (nota che massima parte delle vulnerabilità sono delle estensioni: non installare MAI ciò che non serve assolutamente); tuttavia qui ha perfettamente ragione franchesco "sarà sicuro in maniera direttamente proporzionale alle competenze tecniche del suo staff".
oltre alle osservazioni di tonicopi, sull'installazione 'hosting con ftp' di Joomla, ricorda che vi è anche una installazione da sysadmin che si applica, appunto, ai server dedicati. comincia a togliere i permessi di scrittura ad ogni file/dir che non sia /cache, /tmp, /images(et cetera) ed a cambiare l'ownership dei files, come per altro si fa in ogni installazione seria di qualsiasi cms. se un hacker non può sovrascrivere i files di sistema che danni può fare? (qualcuno sì, ma molto limitato).
ovviamente disinstallare dal server tutto ciò che non serve, verificare che il kernel sia monolitico, ...

Se gli rispondo cosi , mi accompagnano alla porta e forse mi danno pure un calcio in culo
te lo danno di sicuro, e pure con uno scarpone chiodato!! per questo è importantissima la gestione a livello server.

Ma portali grandi come quelli che citavo , a cosa si affidano?
a dei sysadmin con le p...e

ciao,
marco

[jeckodevelopment]

Joomla viene usato da molti enti pubblici (comuni, regioni, ecc.), da aziende famose e altri siti importanti e diciamo che su questo sito c'è anche un bel topic a riguardo dove ci sono tutti i siti ben noti.
Si veda: http://forum.joomla.it/index.php/topic,4217.0.html

Quoto in pieno Francesco quando dice che la sicurezza dipende da chi "ci mette le mani".
Se ci si affida ad un'azienda del settore (anche con qualche anno di esperienza) che abbia lo staff competente, il cliente è tranquillo che il sito sarà realizzato da professionisti e che sarà seguito anche a lavoro concluso (anche se questo dipende dal contratto).

Per quanto riguarda il "capitolo Sicurezza", devo dire che qualsiasi software proprietario o open source che sia riporta delle vulnerabilità di tanto in tanto. Vulnerabilità è una parola ed un concetto che spinge al miglioramento del software e che se seguita da un fix può portare senz'altro ad un software più sicuro (e maturo) ma anche ad una sicurezza percepita da parte di chi lo utilizza, in quanto da prova di un'attivissima comunità di persone che lavorano costantemente per migliorare quello che noi tutti qui usiamo.
Come hanno detto prima di me, le vulnerabilità riguardano soprattutto le estensioni e mi sento di ribadire il concetto espresso sopra da Marco, installare ed utilizzare solo le estensioni necessarie, disinstallare tutte quelle inutilizzate. Tenere aggiornato costantemente il core di Joomla e tutte le estensioni utilizzate.
Riducendo il numero di estensioni si riduce la superficie di attacco.

Per i backup, persino gli hosting condivisi offrono backup giornaliero e settimanale sia dello spazio, sia del db, un buon server dedicato avrà tutti i servizi necessari.

Generalmente è condiviso che la sicurezza dipende principalmente dagli utenti e da chi gestisce, i danni arrivano se ci si affida a millantatori e sedicenti sysadmin improvvisati. Un progetto importante merita professionalità e qualità che solo i professionisti competenti possono garantire.
Il precedente messaggio di Marco la dice lunga sulla sua esperienza, infatti ha fornito una serie di accorgimenti tecnici per migliorare la sicurezza.

Detto ciò, ti auguro buon lavoro!