Absicherung des Backends

[Texter]

Hallo,

ich habe gerade meine erste Website - ein Blog - mit Contao gebaut und online gestellt.

Um das Backend abzusichern, habe ich das Administrator-Login von "admin" in etwas anderes geändert und ein kryptisches, langes Passwort vergeben.

Um es noch sicherer zu machen, würde ich außerdem gerne auf dem Webspace eine zweite Domain für das Backend nutzen, und das typolight/-Verzeichnis dorthin verschieben:

/

meine-domain.de/

mein-backend.de/

nimda/

Das würde bedeuten, dass das Frontent unter meine-domain.de/ läuft (ohne Unterverzeichnis typolight), und das Backend unter mein-backend.de/nimda/ erreichbar ist.

Beide Domains liegen auf demselben Webspace als Verzeichnisse nebeneinander. Auf Apache-Configs habe ich keinen Zugriff (Hoster 1&1).

Ich stöbere schon eine Weile hier im Forum und experimentiere auf dem eigenen dev-Server deswegen, bin aber noch nicht auf einen grünen Zweig gekommen.

Ist das überhaupt möglich? Gibt es dazu Threads hier im Forum, die ich noch nicht gefunden habe? Welche Tricks könnten da weiterhelfen?

[Ling]

Hoi, würde fast sagen das das nicht klappt. Aber je nachdem was für ein Paket du bei 1und1 hast kannst du vlt. was mit htaccess reissen...

[weke]

Möglich: ja, Aufwand: groß, Update sicher: fraglich.

Konkret:
Frontend und Backend über zwei unterschiedliche Domains verteilen ist noch recht einfach.
Voraussetzung mod_rewrite ist verfügbar und via .htaccess nutzbar.

Dann kann ein

RewriteEngine On
RewriteCond %{HTTP_HOST} !backend.domain.de [NC]
RewriteRule ^(.*)$ http://www.domain.de/index.php [R=301,QSA] 

Dieses in eine .htaccess-Datei im Contao-Ordner anlegen.
Jeden Aufruf des Contao-Ordners wird dann von der Frontenddomain verhindert. (Wird halt einfach aufs Frontend verwiesen)
Aufrufe von der Backend-Domain funktionieren weiterhin.

Problem hierbei, die Vorschau wird ggf. nicht mehr funktionieren.
Um das zu Ändern kannst du meine Idee hier mal verfolgen.

Das andere ist das Umbenennen des Backend-Ordners. In deinem Beispiel "nimda".
Dazu gibt es eine Erweiterung, welche nur mit einer kommerziellen Lizenzen genutzt werden kann.

[do_while]

Der Tipp hatte zwar einen anderen Hintergrund, aber der Schutz für das Backend sollte so auch für Deine Wünsche funktionieren:
http://www.contao.org/neuigkeiten/it...stalltool.html

Du läßt also einfach alles weiterhin über eine Domain laufen.

[Texter]

Hallo,

danke für eure Antworten und Tipps.

Ich habe mich der Einfachheit halber dazu entschieden, den Zugriff auf das Backend grundsätzlich via htaccess zu unterbinden, solange ich nicht selber darauf zugreife. Ich bin der einzige Nutzer und werde nur einmal wöchentlich neue Artikel ins Blog einstellen. Deshalb ist es am sichersten, wenn das Backend ansonsten gar nicht erreichbar ist und ich die Installation auch nicht patchen oder hacken muss.

Anstatt aber das Backend auf einer anderen Domain zu betreiben, werde ich die .htaccess einfach z.B. in no.access umbenennen, bevor ich dann im Backend administriere. Abschließend werde ich sie wieder in .htaccess umbenennen, so dass grundsätzlich kein Zugriff aufs Backend möglich ist, solange nicht die .htaccess deaktiviert wird.

Vielleicht werde ich noch ein kleines Skript schreiben, das per cron z.B. stündlich automatisch dafür sorgt, dass die .htaccess (die den Zugriff komplett sperrt) wieder hergestellt wird - das für den Fall, dass ich vergessen sollte, die Datei am Ende manuell wieder umzubenennen.

[xchs]

Hallo Texter,

sofern Du eine fixe IP-Adresse hast, könntest Du Dir den ganzen Aufwand sparen und einfach die betreffende Adresse in der Authentifizierung freigeben:

http://www.askapache.com/htaccess/ap...-htaccess.html