Come proteggi il sito admin di django?

Question

Ho pensato che potrei limitarlo a mostrare solo su alcuni IP, ma ho alcuni lavoratori freelance senza IP statici che dovrebbero essere in grado di accedere al sito di amministrazione. Ho lanciato un grande progetto e sto cercando alcuni modi per proteggere il sito di admin dagli sguardi indesiderati.

Answer 1

Se lo si sta eseguendo dietro apache, è possibile utilizzare uno dei suoi numerosi moduli per l'autenticazione HTTP (esistono moduli simili per altri server). In questo modo l'utente non può nemmeno accedere alla pagina di accesso senza effettuare il login.

Un'altra opzione sarebbe quella di bloccare tutti gli accessi da URL remoti e richiedere agli utenti di utilizzare una VPN per accedere alle pagine di amministrazione. (Penso che questo sarebbe troppo grande di una seccatura)

Abbiamo un sito in cui l'interfaccia di amministrazione è su un dominio separato, non nasconde nulla ma li mantiene separati.

Answer 2

1) Limitato da IP. Questo potrebbe non essere del tutto possibile nel tuo caso, ma puoi comunque controllare solo alcune sottoreti, ma non credo che i tuoi utenti abbiano IP dinamici e molto probabilmente avranno i loro IP dalla stessa sottorete se accedono alla stessa rete ogni volta. Ciò potrebbe ridurre il rischio di essere totalmente aperti.

2) Modificare l'URL di amministrazione predefinito su qualcosa di non ovvio.

Answer 3

Stiamo litigando con questa domanda adesso. All'inizio abbiamo limitato l'accesso tramite IP, tuttavia (dopo la disattivazione del client) è stato chiesto di disattivare la restrizione. Al momento abbiamo l'autorizzazione di digest sopra l'amministratore. Stiamo considerando la limitazione del tentativo di accesso e i requisiti minimi di sicurezza della password. Credo che queste sarebbero protezioni rilevanti in quanto la protezione dell'amministratore include la protezione contro scelte errate delle password.

Tempo e budget permettendo possiamo guardare mod_security per molte cose, tra cui la reputazione degli indirizzi IP (geolocalizzazione), la blacklist e il rilevamento degli attacchi di forza bruta.