Опасно ли оставлять папку администратора Django под URL-адресом по умолчанию для admin?

Question

Опасно ли иметь доступ к вашему интерфейсу администратора в приложении Django, используя просто старый адрес администратора? В целях безопасности должен ли он быть скрыт под запутанным URL-адресом, похожим на 64-битный уникальный uuid?

Кроме того, если вы создаете такую ​​запутанную ссылку на ваш интерфейс администратора, как вы можете избежать того, чтобы кто-нибудь узнал, где она находится? Знает ли гугл-бот, как найти этот URL, если на вашем сайте или в Интернете нет ссылки на этот URL?

Answer 1

Возможно, вы захотите следить за атаками по словарю. Самое безопасное, что нужно сделать, это ограничить IP-доступ к этому URL, используя конфигурацию вашего веб-сервера. Вы также можете оценить ограничение доступа к этому URL - на прошлой неделе я опубликовал статью об этом .

Answer 2

Если в Интернете нигде нет URL-адреса, «робот Google» не может об этом знать ... если кто-то не скажет об этом. К сожалению, у многих пользователей в браузере установлены панели инструментов, которые отправляют все URL-адреса, посещенные браузером, на различные серверы (например, Alexa, Google).

Поэтому сохранение URL-адреса в секрете не будет работать в долгосрочной перспективе.

Кроме того, uuid трудно запомнить и напечатать, что приводит к дополнительной поддержке («Какой снова был URL?»).

Но я все же настоятельно рекомендую изменить URL (например, на / myadmin /). Это помешает автоматическому сканированию и атакам. Так что если однажды «великий червь Джанго» попадет в Интернет, у вас будет гораздо меньше шансов попасть.

Люди, использующие PHPmyAdmin, имели такой опыт в течение последних нескольких лет: изменение URL по умолчанию позволяет избежать большинства атак.

Answer 3

Хотя нет никакого вреда, если добавить дополнительный уровень защиты (запутанный URL-адрес), обеспечивающий правильный выбор пароля (проверка надежности пароля и проверка его отсутствия в большом списке общих паролей), было бы гораздо лучше использовать ваше время.

Answer 4

Если вы выбрали хороший пароль, нет, это не опасно. Люди могут увидеть страницу, но они все равно не смогут войти.

Если вы не хотите, чтобы Google индексировал каталог, вы можете использовать файл robots.txt для управления этим.