Formulario de acceso, registro, edición de perfil y recuperación de contraseña. Un todo en uno para el frontend de WordPress:
¿Conoces #CleanLogin? Formulario de acceso, registro, edición y recuperación http://t.co/JVj3458aeL otro plugin nuestro para #WordPress
— Codection (@codection) February 6, 2015
La tabla periódica de WordPress:
¿Sabías que existe una "tabla periódica" de #plugins de #WordPress? http://t.co/AfJInEYwGO
— Berto López (@c2cero) February 7, 2015
Conozco a unos usuarios de PHP-Nuke que aún hoy lo usan de una forma más o menos segura gracias a que cambian la ruta de acceso a la administración cada cierto tiempo. La verdad es que a pesar de eso, ese conocido CMS, de los primeros que tuvieron cierta fama, sigue teniendo fallos graves de seguridad. Sin embargo, la experiencia demuestra que protegiendo la administración, nos quitamos bastantes problemas de encima.
Si usáis WordPress, cualquier otro CMS o incluso en aplicaciones web vuestras que vendáis a clientes, una de las restricciones más útiles, cuando es posible hacerla, es restringir el acceso por dirección IP. Hay métodos para hacerlo desde un lenguaje del lado del servidor, sin embargo, el más cómodo (al menos para mí) ya que no requiere que se toque el código del programa, es el basado en .htaccess.
Veamos cómo hacerlo.
Proteger un directorio
El fichero .htaccess deberá estar colgado de él y deberá contener el siguiente código:
Si por razones de seguridad o por política de empresa, queremos bloquear las direcciones a un determinado rango o conjunto de IP, os voy a comentar cómo hacerlo de forma simple haciendo uso de PHP.
Lo primero que debemos hacer es crear una función que nos permita conocer la dirección IP del cliente:
function obtenerDireccionIP()
{
if (!empty($_SERVER ['HTTP_CLIENT_IP'] ))
$ip=$_SERVER ['HTTP_CLIENT_IP'];
elseif (!empty($_SERVER ['HTTP_X_FORWARDED_FOR'] ))
$ip=$_SERVER ['HTTP_X_FORWARDED_FOR'];
else
$ip=$_SERVER ['REMOTE_ADDR'];
return $ip;
}Una vez hecho esto, el proceso es simple. Veamos distintas posibilidades.
Permitir/restringir acceso a una sola IP
Con esta función, restringimos el acceso sólo a la IP que se le envía a la función. Podemos cambiar el “==” por “!=” para hacer lo contrario.
function restringirIp($ip) { $ipCliente = obtenerDireccionIP(); if($ipCliente == $ip) { return true; } else { header('location: http://direccion_envio_salida'); exit; } }
Para los que venimos del mundo de MySQL y nunca antes hemos utilizado PostgreSQL, la configuración de los accesos externos a la base de datos puede parecernos algo confusa. El mecanismo, sin entrar en la tabla de gestión de usuarios, es algo más complejo pero tiene más posibilidades que en la base de datos recién adquirida por Oracle.
Veamos los pasos a dar.
1. Acceder al sistema
Para poder seguir los pasos, deberemos estar dentro del sistema, en la terminal del mismo. Si no tenemos acceso físico, podemos conectar vía ssh.
$ ssh miusuario@miservidorpgsql
2. Autenticarnos como usuario postgres
Una vez dentro del sistema, podemos hacer las operaciones como root, pero por seguridad o por si no disponemos de tales credenciales, lo mejor es actuar como usuario postgres:
su postgres
3. Permitir conexiones de clientes desde un determinado rango
Llegamos a uno de los puntos importantes de la cuestión, el fichero pg_hba.conf. Su situación exacta dependerá de vuestra instalación, pero lo encontraréis en una de estas dos rutas:
Dentro de este fichero, al final del mismo, veremos algo así:
# TYPE DATABASE USER CIDR-ADDRESS METHOD # "local" is for Unix domain socket connections only local all all ident # IPv4 local connections: host all all 127.0.0.1/32 ident # IPv6 local connections: host all all ::1/128 password
¿Qué significa esto? Veamos columna a columna:
Nos paramos ahora en los dos apartados que más atención requieren.
3.a Dirección
En esta columna definimos, las direcciones IP (podemos también usar IPv6), desde las que podremos conectarnos a PostgreSQL. Usaremos la fórmula dirección/máscara:
3.b Método
Aunque hay multitud de métodos para utilizar (incluyendo conexiones LDAP, Kerberos o PAM), explico los tres más básicos:
Una línea de ejemplo, para darle acceso a todos los usuarios, a todas las base de datos, desde el rango de IP explicado antes, usando autenticación con usuario y contraseña, sería la siguiente:
host all all 150.100.100.0/24 password
4. Habilitar conexiones al socket desde clientes que no sean el host local
Al igual que en MySQL hay que configurar el bind-adress en my.conf, en PostgreSQL tenemos que hacer algo análogo.
Para versiones 8.x en adelante el procedimiento es el siguiente. Buscamos el fichero postgresql.conf en:
Y buscar dentro del mismo la siguiente línea:
listen_addresses='localhost'
Para sustituirla, por el comodín (para todas las IP, es una opción segura, tened en cuenta que tenemos también un filtro en el fichero pg_hba.conf.
listen_addresses='*'
