Liste de contrôle de sécurité de Dispatcher the-dispatcher-security-checklist

Adobe recommande vivement de suivre la liste de contrôle suivante avant de passer en production.

Utiliser la version la plus récente de Dispatcher use-the-latest-version-of-dispatcher

Vous devez installer la version la plus récente pour votre plateforme. Vous devez mettre à niveau votre instance de Dispatcher afin d’utiliser la dernière version en date et ainsi tirer parti des améliorations apportées au produit et à la sécurité. Voir Installer Dispatcher.

Restreindre le nombre de clients qui peuvent vider le cache restrict-clients-that-can-flush-your-cache

Adobe recommande de limiter les clients qui peuvent vider la mémoire cache.

Activer le protocole HTTPS pour la sécurité des couches de transfert enable-https-for-transport-layer-security

Adobe conseille d’activer la couche de transfert HTTPS sur les instances de création et de publication.

Restreindre l’accès restrict-access

Lors de la configuration de Dispatcher, vous devez restreindre autant que possible l’accès externe. Voir Exemple de section /filter dans la documentation de Dispatcher.

S’assurer que l’accès aux URL d’administration est refusé make-sure-access-to-administrative-urls-is-denied

Assurez-vous d’utiliser des filtres pour bloquer l’accès externe aux URL d’administration, par exemple la console web.

Voir Test de la sécurité de Dispatcher pour obtenir une liste des URL qui doivent être bloquées.

Utiliser les listes autorisées plutôt que les listes bloquées use-allowlists-instead-of-blocklists

Les listes autorisées sont le meilleur moyen d’assurer un contrôle d’accès puisque, de fait, toutes les requêtes d’accès doivent être refusées, à moins qu’elles ne figurent explicitement sur ces listes. Ce modèle fournit un contrôle plus restrictif des nouvelles requêtes qui peuvent ne pas avoir encore été testées ou prises en compte lors d’une étape spécifique de la configuration.

Exécuter Dispatcher avec une personne dédiée utilisant le système run-dispatcher-with-a-dedicated-system-user

Lors de la configuration de Dispatcher, assurez-vous que le serveur web est exécuté par une personne dédiée, dotée de privilèges limités. Il est conseillé d’octroyer l’accès en écriture uniquement au dossier du cache de Dispatcher.

En outre, les utilisateurs et utilisatrices d’IIS doivent configurer leur site web comme suit :

Prévention des attaques par déni de service (DoS) prevent-denial-of-service-dos-attacks

Une attaque par déni de service (DoS) est une tentative de rendre une ressource informatique indisponible à ses utilisateurs et utilisatrices ciblés.

Au niveau de Dispatcher, il existe deux méthodes de configuration permettant d’empêcher les attaques DoS :

Pour activer la fonctionnalité complète sur les instances de publication en toute sécurité, configurez les filtres pour empêcher l’accès aux nœuds suivants :

Ensuite, configurez les filtres pour accorder l’accès aux chemins d’accès des nœuds suivants :

Configurer Dispatcher pour empêcher les attaques CSRF configure-dispatcher-to-prevent-csrf-attacks

AEM fournit un framework visant à empêcher les attaques CSRF. Pour utiliser correctement ce framework, vous devez placer dans la liste autorisée la prise en charge du jeton CSRF dans Dispatcher. Vous pouvez le faire en procédant comme suit :

Prévention du détournement de clic prevent-clickjacking

Pour empêcher le détournement de clic, il est conseillé de configurer le serveur web afin que l’en-tête HTTP X-FRAME-OPTIONS soit défini sur SAMEORIGIN.

Pour plus d’informations sur le détournement de clic, consultez le site de l’OWASP.

Test de pénétration perform-a-penetration-test

Adobe recommande vivement d’effectuer un test de pénétration de l’infrastructure AEM avant la mise en exploitation.