Hace poco que hablaron de este sitio: Tapiture…. Y la verdad es que no tiene desperdicio. Se va a convertir en al web de moda en 2012. Es como Pinterest pero para tíos hechos y derechos… Todo lo que le puede gustar a un hombreton esta en esta página: chicas sexy, coches, Star Wars y mucho, mucho humor… La web imprescindible para este año.
Tutorial para instalar de manera sencilla un certificado SSL en WHM/Cpanel
Lo primero. Hay que comprar el certificado SSL. Yo he seleccionado el certificado SSL de NameCheap (muy barato) de la compañia COMODO “PossitiveSSL”.
Nos damos de alta en NameCheap y compramos el certificado. Para configurarlo hay que ir a SSL Certificates > Your SSL Certificates y hacemos click en “Activate Now”. Obtendremos una pantalla como esta.
Llegados a este punto nos piden que especifiquemos el tipo de servidor: Cpanel
Y que introduzcamos el CSR. Para hacer esto, tenemos que ir a nuestro panel WHM (si lo tenemos, si no, hay que contactar con el proveedor de hosting y hacer que nos genere el código) e ir a Main > SSL/TLS > Generate a SSL Certificate and Signing Request
Introducimos todos los datos. OJO! Hay que introducir el mismo host (dominio) para el que hemos solicitado el certificado SSL. La Key Size mínimo en 2048 bits. ¡Apuntaos el password y poned bien vuestro e-mail!. Una vez que pinchamos en “Create” generaremos un certificado SSL “autofirmado” como el que usamos para acceder a WHM o Cpanel de manera segura (siempre nos sale una advertencia del navegador diciendonos que es un certificado no valido, pero funciona igual de bien… Lo que vamos a conseguir comprando el certificado en NameCheap es eliminar este aviso ya que hay detrás una compañía que nos certifica).
Muchas veces nos hemos planteado comprar un certificado SSL para nuestra página web para que nuestros usuarios se muevan en un entorno seguro https… Y siempre nos hemos echado para atras por el precio. Eso se acabo.
Hay dos magnificas opciones para obtener tu certificado SSL gratis o realmente barato: StartSSL y Namecheap
1.- Certificados SSL gratis en StartSSL
Sí… Totalmente gratis… ¿Cual es el truco? Que no los podemos emplear para actividades comerciales, por lo menos el de Clase 1, que es el gratuito.
2.-Certificados SSL muy baratos en Namecheap
Namecheap es una empresa que se dedica principalmente a la gestión de dominios, pero también nos ofrece certificados SSL muy, muy baratos desde 7,95$ al año. nos ofrecen distintos proveedores de certificados: Comodo, GeoTrust, VeriSign, Twate… En función de la compañía, serán más o menos baratos, pero el inicial de Comodo puede servirnos perfectamente.
Domain Validated: OK; Free Site Seal: OK; Issued in minutes; $10,000 Warranty; Unlimited Reissues: OK; 128/256 bit encryption desde 7,95$ al año
Rebuscando en los errores de apache (/usr/local/apache/logs/error_log) en el servidor te puedes encontrar con estas lineas: “Request exceeded the limit of 10 internal redirects due to probable configuration error. Use ‘LimitInternalRecursion’ to increase the limit if necessary. Use ‘LogLevel debug’ to get a backtrace”.
¿Que podemos hacer para solucionar este error?
Probablemente algún dominio o subdominio que tengas alojado en tu servidor tiene alguna regla de redirección configurada erróneamente. Para resolver esto de manera permanente hay que añadir las siguientes lineas al archivo “.htaccess” de esos dominios:
RewriteCond %{ENV:REDIRECT_STATUS} 100
RewriteRule .* – [L]
Pero… ¿Y si tengo muchos dominios alojados en el servidor? ¿Cual esta provocando el problema? Podemos ir a /usr/local/apache/domlogs y allí buscar la IP que ha tenido el error (La IP la encontraras en error_log) con el siguiente comando:
grep -irl sustituir.por.la.ip.que.provoca.el.error *
Y nos dirá los dominios que provocan el error. Ahora solo tenemos que añadir las lineas que antes he comentado al .htaccess y el problema desaparecerá del archivo de errores de apache.
En la actualidad, con el aumento de la popularidad de WordPress, muchos sitios utilizan PHP + Mysql para crear sus proyectos.
Y cada vez se esta volviendo más importante asegurar PHP a traves de su archivo de configuración PHP.ini
Lo primero que tendríamos que hacer es encontrar el archivo PHP.ini. Si tenemos acceso ssh a nuestro servidor, podemos ejecutar el siguiente comando en la shell:
# php -i |grep php.ini
En cpanel tambien podeis ver su configuración y probablemente editar algunas de sus funciones. Sino encontrais el archivo, lo más sencillo es ponerse en contacto con el soporte de la empresa de hosting y que os generen uno para vuestro dominio.
Una vez que lo encontramos, procedemos a editar algunas opciones:
safe_mode (ON)
Poner PHP “Safe mode” en ON es una de las maneras más sencilla de asegurar nuestra instalación y de limitar las funciones que utiliza PHP. En algunos casos puede resultar un poco restrictiva y provocar que determinadas aplicaciones no funcionen, pero siempre es recomendable poner esta orden en On en los Servidores Compartidos, por lo que probablemente, si estamos en un shared server, vuestro proveedor ya lo haya hecho por vosotros.
Si ponemos safe_mode en modo “on” parara la ejecución de funciones exec y otras del estilo que normalmente pueden provocar un fallo en la seguridad del servidor.
Deshabilitar determinadas funciones PHP
PHP puede provocar un hackeo del servidor a través de determinadas funciones que deberíamos deshabilitar para mejorar la seguridad:
Dentro de php.ini hay que buscar la linea donde tengamos:
disable_functions =
Y añadimos lo siguiente:
disable_functions = dl,system,exec,passthru,shell_exec
Register Globals (OFF)
Mediante register_globals pueden introducir en nuestro entorno muchas variables no deseadas, por lo que siempre es recomendable desactivar esta función. Muchos programas como moodle, te solicitan que así lo hagas durante la instalación.
Buscamos en PHP.ini
register_globals = On
y lo cambiamos por:
register_globals = Off
display_errors (OFF)
Con esto conseguiremos que no se muestren todos los errores de la aplicación que pueden proporcionar detalles sobre las rutas a los programas o sobre las consultas MySQL
allow_url_fopen y allow_url_include (OFF)
allow_url_fopen en OFF impide que algunas funciones PHP como include, require, y file_get_contents(), pidan datos externos.
allow_url_include en OFF impide el acceso remoto via include y require.
magic_quotes_gpc (OFF)
Lo mejor, para tener un “ambiente” seguro es ponerlo en OFF. En este articulo teneis algunas de las ventajas y desventajas de hacerlo o no What is Magic Quotes GPC (magic_quotes_gpc) in PHP and the php.ini?
open_basedir
Esta directiva tiene que estar configura a un determinado directorio para que PHP solo pueda acceder a él
Correr PHP a traves de PHPsuexec
El gran problema de PHP es que en servidores con cPanel, PHP corre mediante el usuario “nobody”. Cuando alguien pone un script con acceso 777, un usuario “nobody” puede escribir en el archivo. Y esto puede ser peligro en un Servidor Compartido (Shared Server) ya que lo que sucede en unas cuentas puede afectar a las demás. En otras palabras: no es necesario que tu cuenta este comprometida. Si lo esta la del vecino, la tuya también.
PHPsuexec hace que los permisos 777 no estén permitidos. ¿Inconveniente? PHP se vuelve más lento, pero es más seguro. Además, como cada proceso esta asociado a un usuario en concreto, es más sencillo seguir la pista a los errores.
Para que PHP funcione de este modo, hay que recompilar PHP con suexec. Si tienes Cpanel/WHM lo tienes que hacer mediante Easyapache. Si estas en un servidor Compartido, probablemente ya este activada la opción (No vas a poder recompilar PHP por tu cuenta).
¿Usas como CMS WordPress?
Sí es así, hay un excelente plugin que nos va a ayudar a comprobar la seguridad de nuestra instalación: TPC! Memory Usage
Vía Web Host Gear