Hardening Improvements - security header recommendations

Aperta

#223 aperta il 22/5/2020 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà: 5/5
Tempo stimato: Più di una settimana
Idoneità per principianti: 25/100

Tipo di issue: Funzionalità
Chiarezza: Da chiarire
Stato di attività: Ferma
Stack tecnologico: apache, php
Ambito: infrastructure, security

Direzione di ricerca

Inizia esaminando le impostazioni di Apache o la configurazione .htaccess menzionata nell’issue e determina quali security header sono controllati dall’hosting Emergence e quali dall’istanza Laddr. Verifica come sono configurati i siti HTTPS e se PHP espone la propria versione. Il lavoro è completato quando gli header applicabili e l’impostazione PHP sono abilitati senza compromettere i siti esistenti.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Some recommendations from Sucuri:

Missing security header for ClickJacking Protection. Alternatively, you can use Content-Security-Policy: frame-ancestors 'none'.
- https://docs.sucuri.net/warnings/hardening/security-headers-x-frame-options/
  - You can enable it by modifying your Apache settings or your .htaccess file - on server side
- https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors
Missing security header to prevent Content Type sniffing.
- https://docs.sucuri.net/warnings/hardening/security-headers-x-content-type-nosniff/
  - You can enable it by modifying your Apache settings or your .htaccess file - on server side
Missing Strict-Transport-Security security header
- https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security
- applicable only to HTTPS sites on Laddr, can it be configurable per Emergence instance/site?
- should be done on server side
Missing Content-Security-Policy directive.
- https://blog.sucuri.net/2018/04/content-security-policy.html
  - We recommend to add the following CSP directives (you can use default-src if all values are the same): script-src, object-src, base-uri, frame-src
- try to block executing scripts added in content (i.e. page, buzz, project description, comment etc)
- Use "report-uri" to log failed requests. Endpoint to send report json to: https://report-uri.com/#prices (free up to 10.000 requests per month); when testing in production use "report-only" to send reports to URL endpoint what would be blocked by set CSP rules.
Leaked PHP version. Your site is displaying your PHP version in the HTTP headers. Please set expose_php = Off.
- https://secure.php.net/manual/en/ini.core.php
- this should be done on server side (Emergence hosting)

Check full report at:
https://sitecheck.sucuri.net/results/codeforphilly.org (same results are for other Laddr instances)

Lingua principale: Smarty
Stelle: 62
Fork: 34
Metriche di merge delle PR: Nessuna PR unita negli ultimi 30g

Guida per i contributori

Nessuna guida per i contributori indicizzata per questo repository

Come iniziare

Leggi tutta la issue e poi la guida ai contributi del progetto.
Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
Fai un fork del repository e lavora su un branch.
Apri una pull request che faccia riferimento al numero della issue.

Altre issue di CodeForPhilly/laddr

project create page does not allow creating new tags Aperta

Difficoltà 3/5 1-2 giorni Idoneità per principianti 35/100

CodeForPhilly/laddr#256 · Aperta il 5/10/2022
Member directory layout improvement Aperta

Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100

CodeForPhilly/laddr#230 · Aperta il 27/11/2020
Change default "contact form" email address from brigade-info@ CfA email Aperta

easy win help wanted

Difficoltà 3/5 1-2 giorni Idoneità per principianti 32/100

CodeForPhilly/laddr#228 · 1 commento · Aperta il 20/11/2020
Add option to disable project self-association Aperta

easy win

Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100

CodeForPhilly/laddr#224 · 2 commenti · Aperta il 3/6/2020
Member Onboarding Questionnaire Aperta

CodeForPhilly/laddr#219 · 3 commenti · 1 reazione · 1 assegnatario · Aperta il 15/1/2020

Tutte le issue di CodeForPhilly/laddr

Issue simili

create node pr: Node.js 20 deprecation & `DEP0040` warnings logged Aperta

Difficoltà 1/5 Meno di un'ora Idoneità per principianti 80/100

npm/cli#10031 · Aperta il 24/9/2026
authentik_source_oauth: access_token_url/authorization_url/oidc_jwks_url/profile_url cause a permanent diff when oidc_well_known_url is set Aperta

Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100

goauthentik/terraform-provider-authentik#981 · Aperta il 24/9/2026
[oblt-aw][security] SEC-010 — findings (2026-09-24) Aperta

oblt-aw/detector/security

Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100

elastic/oblt-aw#2141 · 1 reazione · Aperta il 24/9/2026
devcontainer-setup: two unpinned curl | bash installs in the generated Dockerfile Aperta

Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100

trailofbits/skills#330 · Aperta il 24/9/2026
Workflow failure: run-acceptance-tests at lint / lint on #732 Aperta

Bug kind/engineering pulumi/pulumi-external Workflow Failure

Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100

pulumi/pulumi-external#733 · Aperta il 24/9/2026

Altre issue su DevOps