Come sviluppatore freelance, a volte devo accedere ai pannelli di amministrazione dei provider di hosting dei miei clienti. È un'esperienza sorprendentemente spaventosa. Di seguito sono riportati alcuni punti che ho notato durante l'accesso di recente a un provider di hosting non-così-impopolare con sede nel Regno Unito che ha la parola "sicuro" menzionata in grande nella home page:
-
L'account amministrativo predefinito viene creato con una password terribile: cinque caratteri minuscoli e solo cifre , nessun maiuscolo, nessun simbolo.
-
La password viene visualizzata in diverse posizioni nel pannello di amministrazione, il che è un buon segno che è salvato in testo normale nel database.
-
Questo account amministrativo viene utilizzato per accedere a tutto : FTP, MySQL e il pannello di amministrazione stesso (comprese informazioni personali, fatture, ecc.).
-
È impossibile creare account aggiuntivi, che costringono il cliente a fornire la stessa password amministrativa a tutti i freelance che lavorano al progetto (dando loro accesso illimitato a tutto).
-
È possibile accedere al database MySQL da qualsiasi luogo , non solo localmente. Questo comportamento non può essere modificato.
-
C'è nessun controllo .
-
Nulla aiuta o invita il cliente a fare backup regolari .
-
L'hosting utilizza PHP 5.2.4, una versione rilasciata il 30 agosto th , 2007 e non può essere aggiornata a una versione più recente. Per coloro che non hanno familiarità con PHP, il linguaggio ha frequenti aggiornamenti dovuti a numerosi problemi di sicurezza rilevati regolarmente e l'esecuzione di un sito Web nel 2012 anche con la versione rilasciata nel 2011 è una pessima idea.
La mia esperienza con altre società di hosting ben note nel Regno Unito, negli Stati Uniti e in Francia è simile. Alcuni sono leggermente migliori, per quanto riguarda la sicurezza, ma troppi stanno facendo tutto il possibile per far rispettare le peggiori pratiche. Quindi, affermano di essere sicuri e facili da usare, il che dà la sensazione che il cliente possa fare affidamento sul provider di hosting per tutto ciò che riguarda la sicurezza.
Quale dovrebbe essere la risposta professionale di uno sviluppatore al cliente in merito a tali società di hosting?
In qualità di sviluppatore che ha il dovere di informare i clienti meno tecnologicamente informati sui rischi che incontrano, cosa devo fare?
-
Dire che il provider di hosting fa schifo perché non è sicuro non è una soluzione: se il provider di hosting non è impopolare, il cliente si fiderà della grande società di hosting, piuttosto che di uno sviluppatore freelance.
-
Spiegando in dettaglio ogni aspetto della sicurezza e della gestione dei rischi non sarebbe di aiuto né, poiché sarebbe troppo lungo e noioso da leggere per i clienti. Trascorrere ore a riconfigurare le cose sarebbe spaventoso anche per loro.