Sicherheit

Éclair ist ein sicheres CMS von Haus aus, gebaut für eine feindliche Umgebung: Shared Hosting und Bots, die rund um die Uhr Passwörter ausprobieren. Du musst nichts installieren oder einstellen, um geschützt zu sein. Dieser Leitfaden erklärt, was ab Werk abgesperrt ist, was der Adminbereich überwacht und welche vier Handgriffe deine Website noch besser schützen.

Warum ist eine Website ohne Datenbank sicherer?

Ohne Datenbank hat die SQL-Injection, einer der verbreitetsten Angriffe auf Websites, schlicht nichts, worauf sie zielen könnte. Deine Inhalte sind Dateien, und diese Dateien sind doppelt geschützt:

• Die Ordner data/, app/ und cache/ sind per .htaccess-Datei vom Web aus gesperrt;
• jede Datendatei beginnt mit der Zeile <?php exit; ?>: Selbst wenn ein Server .htaccess-Dateien ignorieren würde, würde nichts angezeigt, und keine <?php-Sequenz kann hineingeschrieben werden;
• die Dateien sind privat (Rechte 0600) und werden atomar geschrieben: Ein Abbruch hinterlässt nie eine halb geschriebene Datei.

Auch die Installation ist geschützt: Sie ist nur innerhalb von 2 Stunden nach dem ersten Aufruf möglich, und die Adresse der Website wird erst dann zum Weiterleiten der Besucher genutzt, wenn der Server selbst sie geprüft hat.

Wie ist die Anmeldung geschützt?

• Passwörter mit Argon2id gehasht (19 MiB Speicher, 2 Durchläufe), den von OWASP empfohlenen Parametern; bcrypt als Ausweichlösung. Mindestens 10 Zeichen, gängige Passwörter werden abgelehnt.
• Brute-Force-Schutz: Jeder Versuch wird reserviert, bevor er geprüft wird, sodass sich das Limit auch mit parallelen Anfragen nicht überschreiten lässt. Die Limits gelten pro Netzwerk (IPv4-Adresse oder /64-Block bei IPv6) und pro angegriffenem Konto. Dein gewohntes Gerät wird nie von einem Angreifer gesperrt, der sich absichtlich vertippt.
• Zwei-Faktor-Authentifizierung (2FA), kompatibel mit Google Authenticator, Microsoft Authenticator, 1Password oder Bitwarden, mit QR-Code und 8 Backup-Codes, die nur einmal angezeigt werden. Nach 10 falschen Codes wird die 2FA des Kontos 15 Minuten lang gesperrt, und der Inhaber wird per E-Mail benachrichtigt.
• Erneute Passwortabfrage bei sensiblen Aktionen (Backup, Konten, erweiterte Einstellungen, Änderung der E-Mail-Adresse), wenn die Anmeldung mehr als 15 Minuten zurückliegt.
• Gehärtete Sitzungen: keine Sitzung vor der Anmeldung, Cookies mit HttpOnly, Secure und SameSite=Strict, Abmeldung bei Inaktivität, ein Button „Alle abmelden“. Der Adminbereich wird auf HTTPS gezwungen, sobald die Website es nutzt.
• CSRF-Token bei allen Aktionen und Prüfung der Herkunft der Anfragen.

Wie ist die öffentliche Website abgesichert?

Die Sicherheits-Header hängen von den Einstellungen ab, nie von der Anfrage: Eine Seite aus dem Cache sendet allen dieselben Header, was Cache-Poisoning unmöglich macht.

Was überwacht die Seite Sicherheit?

Die Seite Sicherheit, die nur Administratoren zugänglich ist, bündelt deine Kontrollwerkzeuge:

1. Schutzstufe: ein Prozentwert und der Status jedes Schutzes (HTTPS, verifizierte Adresse, Zwei-Faktor-Authentifizierung, Adresse des Adminbereichs, PHP-Version, HSTS …), mit dem Button Adresse der Website verifizieren.
2. Test des Ordnerschutzes: Dein Browser versucht, interne Dateien zu öffnen, die unzugänglich bleiben müssen.
3. Dateiintegrität: Jede Éclair-Datei wird mit ihrem ursprünglichen Fingerabdruck verglichen, und verdächtige Dateien werden gemeldet, etwa ein in den Medien verstecktes Skript oder eine .php-Datei ohne Schutzzeile in data/.
4. Backup: ein Archiv deiner gesamten Website mit einem Klick.
5. Sitzungen und Sperren, dann das Sicherheitsprotokoll: Anmeldungen, Fehlversuche, Sperren, Passwortänderungen, Backups.

Die Protokolle sind auf 1 MB begrenzt: Man kann sie nicht aufblähen, um die Festplatte zu füllen.

Was hat das offensive Sicherheitsaudit ergeben?

Vor seiner Veröffentlichung wurde Éclair methodisch angegriffen: Race Conditions, Brute Force, Weiterleitungen, Injections, präparierte Dateien. Dabei wurden 17 Schwachstellen gefunden, davon 2 schwere, 7 mittlere und 8 leichte, und alle wurden behoben. Die 13 Angriffsszenarien wurden anschließend gegen die korrigierte Version wiederholt: alle neutralisiert. Der KI-Assistent, der mit Version 1.2.0 kam, hatte vor seiner Veröffentlichung sein eigenes Audit.

Die automatischen Tests von Éclair, die 502 Prüfungen umfassen, spielen einen großen Teil dieser Angriffe nach. Die Details der Korrekturen stehen im Changelog.

Welche Handgriffe machen dein sicheres CMS noch besser?

Halte außerdem PHP bei deinem Hoster aktuell: Éclair läuft mit PHP 8.1 bis 8.5, empfohlen ist 8.3. Zu Backup und Updates siehe den Leitfaden Aktualisieren, sichern, umziehen.