Proteger o WHMCS: pasta da administração, dois factores, permissões e actualizações

Escolher o plano certo·· 2 visualizações· 4 min de leitura

Este artigo é para quem revende hospedagem e tem o seu próprio WHMCS. O WHMCS é um produto de outra empresa: não vendemos nem revendemos licenças, como se explica em o que é o WHMCS. Os nomes dos menus são os do WHMCS em inglês e mudam de versão para versão. A resposta curta: um WHMCS guarda os dados dos seus clientes, as facturas e as chaves que criam e apagam contas no WHM. Protege-se em cinco frentes: a pasta da administração com outro nome, dois factores em todos os administradores, o ficheiro de configuração só de leitura, as pastas que escrevem fora da parte pública, e actualizações em dia, sempre com cópia antes.

O que proteger, e porquê

Peça O risco se ficar como vem
A pasta admin É o primeiro endereço que os robôs experimentam. Com o nome de origem, qualquer pessoa sabe onde está a porta.
As contas de administrador Uma palavra-passe roubada abre tudo: clientes, facturas e a chave do WHM. Sem segundo factor, não há segunda barreira.
O ficheiro configuration.php Tem a palavra-passe da base de dados e a chave que cifra os dados guardados. Se puder ser alterado, um ataque fica lá a morar.
As pastas onde o WHMCS escreve (anexos, transferências, modelos compilados) Dentro da parte pública, um ficheiro carregado por alguém pode ser aberto pelo navegador.
A pasta install Esquecida no servidor, deixa correr o instalador outra vez por cima da sua instalação.
Uma versão antiga As falhas corrigidas pelo fabricante passam a ser públicas. Quem não actualiza fica com elas.

Os passos, por esta ordem

1 Faça uma cópia primeiro: ficheiros e base de dados, guardada fora da conta. Ver fazer e guardar a sua própria cópia.
2 Apague a pasta install se ainda existir.
3 Mude o nome da pasta da administração. Renomeie a pasta no Gestor de Ficheiros e diga ao WHMCS o nome novo, com esta linha no configuration.php (troque pelo seu nome): $customadminpath = 'nome-que-so-voce-sabe'; Guarde o endereço novo nos favoritos: o antigo deixa de responder.
4 Ligue os dois factores: em Configuration > System Settings > Two-Factor Authentication active um método e obrigue os administradores a usá-lo. Cada administrador termina a activação no seu próprio perfil. Faça o mesmo na sua conta connosco: activar a verificação em dois passos.
5 Ponha o configuration.php só de leitura (por exemplo 400 ou 444), como o próprio ecrã de estado do WHMCS recomenda. Ver permissões de ficheiros explicadas.
6 Tire da parte pública as pastas que escrevem (anexos, transferências, modelos compilados) e, se quiser, a pasta crons. A documentação do WHMCS diz que linha de configuração indica o sítio novo de cada uma. Se mudar a crons, corrija o caminho da tarefa agendada no cPanel no mesmo minuto: tarefas agendadas.
7 Abra o ecrã de estado do sistema (System Health, no menu de utilitários) e resolva o que ele marcar como aviso.
8 Actualize quando sair uma versão nova, depois de confirmar que a sua licença a cobre e que a versão de PHP da pasta é suportada. Use sempre o mesmo caminho para actualizar: o actualizador do WHMCS ou o instalador de aplicações do cPanel, não os dois à vez.
Não perca o segundo factor sem um plano B. Guarde os códigos de recuperação num sítio que não seja o telemóvel. E não insista na palavra-passe quando a entrada falha: tentativas seguidas podem bloquear o seu IP, e isso já não é o WHMCS: desbloquear o seu IP.
Cada pessoa, o seu administrador. Não partilhe a mesma conta de administração entre colegas. Com contas separadas, dá a cada um só as permissões de que precisa e o registo de actividade diz quem fez o quê.

Suspeita que alguém entrou no seu WHMCS? Diga-nos o endereço e a hora, e vemos os registos do servidor do nosso lado.

Abrir pedido de suporte

VEJA TAMBÉM

Instalar o WHMCS na sua conta

Os problemas mais comuns no WHMCS, e o que os causa

Permissões de ficheiros explicadas: o que significam 755, 644 e 777

Ficheiros que nunca devem ficar públicos: pastas .git, .env, cópias e despejos da base de dados

Como activar ou desactivar a autenticação de dois factores (2FA)

Fazer e guardar a sua própria cópia, e testar se ela presta

PRODUTO RECOMENDADO

Alojamento de sites com cPanel

Domínio e SSL incluídos, cópias diárias e o painel que já conhece. desde 5.940,00 Kz/mês (plano de 3 anos, com cupão)

Ver planos
Esta resposta foi útil? A sua resposta ajuda-nos a melhorar este artigo.

Artigos Relacionados

Escolher o plano certo 339 Hospedagem compartilhada ou VPS: qual precisa o seu projecto? A diferença não é 'melhor' e 'pior': é quem administra a máquina. No partilhado, nós. Num VPS, você. Lado a lado Hospeda...
Escolher o plano certo 453 Hospedagem compartilhada ou servidor dedicado: quando o salto compensa São os dois extremos: de um lado, tudo tratado por nós numa máquina partilhada; do outro, uma máquina física inteira só...
Escolher o plano certo 513 Hospedagem compartilhada ou Cloud: o que muda na prática 'Cloud' anda tão gasto na publicidade que deixou de dizer nada. No nosso catálogo tem um significado concreto: uma máqui...
Escolher o plano certo 491 VPS ou Cloud: a diferença está na rede, não no marketing São parentes próximos: nos dois casos tem uma máquina virtual só sua, com acesso root e a administração do seu lado. As...
Escolher o plano certo 522 VPS ou servidor dedicado: recursos virtuais ou a máquina inteira Num VPS os recursos são seus, mas a máquina física é repartida por várias máquinas virtuais. Num dedicado, o ferro é tod...
Escolher o plano certo 1 E-mails do WHMCS no spam ou que não saem: SMTP, endereço do remetente e modelos Este artigo é para quem revende hospedagem e tem o seu próprio WHMCS. O WHMCS é um produto de outra empresa: não vendemo...