保护和加固Joomla网站的10个最佳实践
保护您的网站对于您的在线业务的可用性和运营至关重要。
网络安全是一个快速发展的挑战，我们应该时刻关注几乎每周都会发现的在线威胁。您可以定期执行一个security scan of your website来代替手动执行此操作。
没有完美的安全性，但您可以尽力确保安全。
Joomla 是下载次数超过1.1亿次的第二大 CMS，并且SUCURI的最新研究揭示了第二个被感染的网站平台。
大部分的websites are hacked是由于错误的配置、糟糕的托管或易受攻击的代码所致。以下的做法将有助于提升 Joomla 的安全性。
使用强密码来保护管理员登录
不要将默认的管理员帐户设置为“admin”和简单的密码；这可能是 Joomla 中最大的风险。通过保持默认的“admin”和可猜测的密码，您实际上是在帮助黑客工作。
解决方案：
将默认的管理员登录“admin”更改为其他不容易猜测的内容。
使用密码管理器生成长且复杂的密码。避免使用包含您的姓名、网站名称等密码。您可以考虑使用Secure Password Generator。
定期备份 Joomla
备份是您的朋友和救星。当出现问题时，备份可能是恢复在线业务运营的最快方法之一。
解决方案：
将您的网站托管在一个可靠的托管公司上，该公司提供出色的备份计划，如SiteGround。SiteGround 是最好的托管提供商之一，提供每日免费备份。除了托管备份外，还可以使用像Akeeba backup这样的扩展。
使用秘密密钥登录 Joomla 后台。
隐藏您的管理员后台，防止潜在黑客访问，只允许拥有秘密 URL 的人访问管理区域。
解决方案：
使用像AdminExile这样的登录保护扩展，帮助您添加一个秘密密钥。这意味着每当您需要访问管理员登录页面时，您需要在 administrator 之后输入秘密密钥。
例如：example.com/administrator?testing
这里的 testing 是秘密密钥。如果您不使用这个密钥，那么您将会被重定向到主页。很酷吧？
使用最新版本的 Joomla 和扩展。
大多数网站所有者不会升级到最新版本，这是一个重大风险。几乎每个发布版本都会有一些安全修复，因此不升级到最新版本意味着保持您的网站容易受到攻击。
解决方案：
查看 Joomla 提供的vulnerable extension list，并更新旧的扩展。每次 Joomla 发布时都要查看变更日志，如果有任何关键修复，请进行升级。
监控您的 Joomla 网站
当您的网站宕机或不可访问时，您如何知道？通过电子邮件、Slack 或短信通知您的网站不可访问，以便您可以立即采取必要措施。
解决方案：
使用像StatusCake这样的免费工具，它可以监控您的网站，并在它宕机时通知您。还有其他许多类似的工具，我在here中提到过。
启用搜索引擎友好(SEF)
SEF 使您的 Joomla 网站的 URL 更加友好。而且良好的 SEF 组件还提供了安全性的好处。SEF 组件会掩盖信息，使黑客更难找到潜在的安全漏洞。
解决方案：
在 Joomla 管理区域中启用搜索引擎友好的 URL。
- 登录到 Joomla 管理区域
- 点击站点>>全局配置
- 在“站点”选项卡中，选择“是”以启用搜索引擎友好的 URL
删除不需要的扩展并避免未知开发者的扩展
Joomla是开源的，作为管理员，您安装了许多模块来尝试新功能。尝试改进是好的，但是在不了解开发者的情况下安装模块是不好的。删除您不打算使用的扩展。
使用安全扩展
使用扩展来对抗垃圾邮件、暴力破解、双因素身份验证和已知漏洞。有很多扩展可供选择，我列出了一些最好的扩展 here。
保持文件/文件夹权限适当。
所有文件都应具有适当的CHMOD配置。最好的做法是：
PHP文件- 644
配置文件- 644
其他文件夹- 755
使用Web应用防火墙
Web应用防火墙（WAF）是任何网站保护免受OWASP 10安全性、已知漏洞和恶意软件的必备工具。
如果您的Joomla网站托管在cloud VM上，则可以使用免费的ModSecurity。但是，如果您使用的是共享主机或者没有时间，可以考虑使用基于云的WAF，例如Sucuri或Astra。
使用WAF将帮助您解决以下问题。
- 机器人保护
- 登录保护
- 后门保护
- DDoS保护
- SQL注入
- XSS攻击
- Joomla特定漏洞
- 暴力破解攻击
- 第7层DDoS保护
- 还有更多…
如果您遵循这些步骤，那么您的Joomla website is more secure的机会将更大。
