Curso CDA: Seguridade e rendemento en Drupal
1 recomendación672 vistas
Este documento proporciona un resumen de tres cursos sobre administración avanzada y desarrollo de Drupal. El curso cubre temas como el rendimiento y la seguridad de Drupal, con secciones sobre caché, factores que afectan el rendimiento, y consejos para mejorar la seguridad y el rendimiento de sitios Drupal. El documento también incluye información sobre licencias Creative Commons.
Curso CDA: Seguridade e rendemento en Drupal
- 1. CURSO DE ADMINISTRACIÓN AVANZADA E DESENVOLVEMENTO DE DRUPAL TEMA 3: RENDEMENTO E SEGURIDADE DRUPAL 8 - 12 setembro 2014 – Santiago de Compostela
- 2. Usted es libre de: Copiar, distribuir y comunicar públicamente la obra Hacer obras derivadas Bajo las condiciones siguientes: Reconocimiento - Debe reconocer los créditos de la obra de la manera especificada por el autor o licenciador (pero no de una manera que sugiera que tiene su apoyo o apoyan el uso que hace de su obra). Compartir bajo la misma licencia - Si altera o transforma esta obra, o genera una obra derivada, sólo puede distribuir la obra generada bajo una licencia idéntica a ésta. © 2014 - CIXUG Esta obra fue creada por Alberto Permuy Leal, y está disponible bajo una licencia Reconocimiento-CompartirIgual 3.0 http://creativecommons.org/licenses/by-sa/3.0/deed.es_ES
- 3. CURSO DRUPAL 7 AVANZADO SABIAS QUE... ● 0,1s de retraso en Amazon implican -1% ingresos. ● 1s de retraso en Facebook reduce un 6% visitas. ● Netflix activa gzip = + 13-25% velocidad carga ● Google Maps: +30% aumento velocidad = +30% usuarios Beneficio Amazon en 2013: 274 M € || Facebook 2 semestre 2014 : 1,3B visitas/mes http://www.statista.com/statistics/264810/number-of-monthly-active-facebook-users-worldwide/ http://www.expansion.com/2014/01/31/empresas/tmt/1391126796.html
- 4. CURSO DRUPAL 7 AVANZADO FACTORES QUE INFLUEN NO RENDEMENTO ● Humano: Saber e recoñecer que temos un problema. Habilidades. ● Software: Drupal, SSOO, arquitectura de rede... ● Hardware: AMDK6-II 350Mhz ● Económicos: tempo = €
- 5. CURSO DRUPAL 7 AVANZADO caché, caché, caché
- 6. CURSO DRUPAL 7 AVANZADO Caché : a clave en Drupal ● Caché OpCode PHP ● Caché de proxy inverso ● Caché de bases de datos ● Cachés de Drupal
- 7. CURSO DRUPAL 7 AVANZADO Caché OpCode ● Fundamental en Drupal ● Non temos(ou non deberiamos) ter motivos para non implementar. ● APC, Xcache, eAcceleator => APC ● http://www.drupal.org/project/apc
- 8. CURSO DRUPAL 7 AVANZADO Caché de proxy inverso ● Alivia considerablemente a carga dos servidores web. ● Nginx + Apache ● Varnish é o preferido pola comunidade Drupal ● Boost https://github.com/perusio/drupal-with-nginx https://www.drupal.org/project/varnish https://www.drupal.org/project/boost
- 9. CURSO DRUPAL 7 AVANZADO Caché de base de datos ● MySQL dispón das súas propias cachés. Let's go! ● Consultas: query_cache_size ● Operacións I/O do sistema arquivos : innodb_buffer_pool_size ● https://www.drupal.org/node/85768
- 10. CURSO DRUPAL 7 AVANZADO memcached ● Sistema de caché baseado en memoria ● Funcionamento táboa hash distribuida ● Array asociativo clave => valor . Clave hasta 250 bytes e valores ata 1 MB. ● Integración “awesómica” en Drupal ● Podemos “cachear” bloques, views.... ● https://www.drupal.org/project/memcache
- 12. CURSO DRUPAL 7 AVANZADO RENDEMENTO DRUPAL 7 ab siege
- 13. CURSO DRUPAL 7 AVANZADO Consellos rendemento Drupal ● Planificación da estratexia de rendemento ● ssoo + www + bbdd + core + code ● Manter actualizado Drupal, sempre! ● Desactivar módulos non necesarios ● Drupal caché: ● Bloques ● views → views_caché ● memcache + OpCode(APC p.e) ● Minimizar CSS e JS (Advag) ● Monitorizar + profiling para identificar erros: Yslow(p.e)
- 14. CURSO DRUPAL 7 AVANZADO Tip: Reducir o número de peticións HTTP ● HTTP protocolo cliente/servidor ● A maior número de peticións, maior tempo de espera Solución: ● Combinar CSS nun único arquivo ● Combinar JS nun único arquivo Tools ● Drupal core ● AdvAgg
- 15. CURSO DRUPAL 7 AVANZADO Tip: Engadir Expires Header ● Expires Header fixa o tempo que debe pasar ata que un cliente debe descargar de novo os compoñentes do noso sitio web, por exemplo imaxes. Solución ● Activar mod_expires. No arquivo .htaccess dunha instalación de Drupal, a configuración de mod_expires é xenérica. Debemos tunear a configuración Tools ● Apache2 mod_expires ● Módulo advagg e expires
- 16. CURSO DRUPAL 7 AVANZADO Tip: Comprimir componentes con GZIP ● Comprimir HTML, CSS y JS reduce considerablemente el peso de nuestro sitio web ● Todos los navegadores* soportan compresión GZIP Solución ● Activar mod_deflate Tools ● Activado por defecto nunha instalación Apache2 en Debian GNU/Linux 7.x ● mod_deflate.conf => DeflateCompressionLevel
- 17. CURSO DRUPAL 7 AVANZADO Tip: Engadir Expires Header ● Expires Header fixa o tempo que debe pasar ata que un cliente debe descargar de novo o contido. Solución ● Activar e configurar mod_expires en Apache2 Tools ● Módulo expires o advagg
- 18. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL IV - CONSELLOS e MÓDULOS ● Manter tódolos compoñentes actualizados: ssoo + drupal ● Copias de seguridade controladas e verificadas ● https://www.drupal.org/security/secure-configuration ● Auditar sitio : https://www.drupal.org/project/seckit ● Sempre que sexa posible usar HTTPS ● Controlar a entrada de texto ● https://www.drupal.org/project/wysiwyg_filter ● https://www.drupal.org/project/better_formats ● check_plain en .module :) ● Non mostrar erros = drush variable-set error_level 0
- 19. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL ● Todo o software ten ou pode ter erros. ● Drupal é unha gran comunidade que aporta día a día melloras a nivel de seguridade. ● A política de actualizacións de seguridade de Drupal é seria: Drupal Security Team ● Releases do tipo BugFix libéranse o primeiro mércores de cada mes. ● Releases con correcións de vulnerabilidades son liberadas o terceiro mércores de cada mes.
- 20. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL II - SECURITY TEAM ● Resolver os problemas de seguridade reportados polos Security Advisory ● Asistencia aos mantenedores de módulos en materias de seguridade ● Documentar cómo escribir código seguro ● Documentar cómo securizar os sitios web feitos con Drupal ● Axudar a manter segura a infraestrutura de Drupal.org https://www.drupal.org/security-team https://www.drupal.org/security/secure-configuration https://www.drupal.org/writing-secure-code
- 21. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL III - REPORTE DE BUGS ● Metódo 1: Directamente a security.drupal.org (recomendado) ● Localizar o proxecto en Drupal.org ● Columna dereita "Report a security issue" ● A ligazón remite o reporte ao Issue Tracker de Security Team para análise ● Método 2: email security@drupal.org ● Enviar como mínimo ● Versión do core ou módulo afectada ● Pasos para reproducir o erro ● Patch para solucionalo https://www.drupal.org/node/101494
- 22. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL IV - CONSELLOS e MÓDULOS ● Manter tódolos compoñentes actualizados: ssoo + drupal ● Copias de seguridade controladas e verificadas ● https://www.drupal.org/security/secure-configuration ● Auditar sitio : https://www.drupal.org/project/seckit ● Sempre que sexa posible usar HTTPS ● Controlar a entrada de texto ● https://www.drupal.org/project/wysiwyg_filter ● https://www.drupal.org/project/better_formats ● check_plain en .module :) ● Non mostrar erros = drush variable-set error_level 0
- 23. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL V - CONSELLOS e MÓDULOS Seguridade nas comunicacións ● Secure by role(secrole) ● Permite servir páxinas por HTTPS configurados por roles ● Secure pages(securepages) ● Redirecciona a HTTPS ● Secure login(securelogin) ● Redirecciona a HTTPS o datos enviados polo formulario de inicio de sesión ● Encrypted Files(encrypted_files) ● Cifra os arquivos aportados polos usuarios vía “wrapper” https://www.drupal.org/node/597728
- 24. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL VI - CONSELLOS e MÓDULOS Seguridade nas sesións ● No anonymous sesion(non_anon) ● Deshabilita as sesións para usuarios anónimos ● Sesion limit(sesion_limit) ● Permite limitar o número de sesións simultáneas por usuario ● Auto log out(autologout) ● Pecha as sesións dos usuarios/as despois dun tempo de inactividade https://www.drupal.org/node/597706
- 25. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL VII - CONSELLOS e MÓDULOS Xestión de contrasinais ● Login security (login_security) ● Implementa opcións de seguridade nas operacións cotidianas de login nun sitio web Drupal. ● Password policy (password_policy) ● Permite especificar a política de complexidade dos contrasinais ● Restrict password change (restrict_password_change) ● Engade novo permisos change other users passwords” https://www.drupal.org/node/597706
- 26. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL VIII - CONSELLOS e MÓDULOS Seguridade nas sesións ● Certificate login(certificatelogin) ● Permite a usuarios iniciar sesión usando un certificado dixital ● OAuth(oauth) ● Permite usar o API de autenticación de OAuth, fundamental se desexas integrar Drupal con sitios como Google, Flickr, Twitter ou Yahoo! ● Duo Two Factor Authenticatión( duo ) ● Permite usar DUO con Drupal => www.duosecurity.com https://www.drupal.org/node/597706
- 27. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL IX - CONSELLOS e MÓDULOS ● Captcha( captcha ) ● Protexe os formularios con proba para demostrar que eres humano”(Turing) ● Recaptcha( recaptcha ) ● Implementación de Google Recaptcha https://www.google.com/recaptcha/intro/index.html ● Mollom( mollom ) ● Protexe os formularios permitindo identificar se o contido e ou non spam baseandose non so no contido. https://www.drupal.org/node/597706 SPAM
- 28. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL X - CONSELLOS e MÓDULOS ● IP Anonymize( ip_anon ) ● Permite ocultar Ips de usuarios na bitácora de Drupal ● Invisimail( invisimail ) ● Oculta emails a bots vía Javascript => mailto ● Encrypted text( encrypted_text ) ● Crear un campo cuxos datos almacénanse cifrados na base de datos https://www.drupal.org/node/597706 Privacidade
- 29. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL XI - CONSELLOS e MÓDULOS Detectión e prevención ● MD5 Check( md5check ) ● Xenerar sumas MD5 de módulos e comproba alteracións. Os reportes envíanse como security error á bitácora do sistema ● Hacked ( hacked ) ● Escanea a instalación de Drupal na busca de cambios en módulos e temas. ● Security( security ) ● Security Information Report do sitio. ● Coder( coder ) ● Módulo para desenvolvedores que axuda a atopar e depurar erros. https://www.drupal.org/node/597706
- 30. CURSO DRUPAL 7 AVANZADO SEGURIDADE EN DRUPAL XII - CONSELLOS e MÓDULOS Aspectos legais ● Legal( legal ) ● Mostra termos e condicións do rexistro no sitio ● Terms of use( terms_of_use ) ● Similar ao módulo Legal pero a información almacénase nun módulo https://www.drupal.org/node/597706