Seguridad

Inicio de sesión

• Las contraseñas deben tener al menos 12 caracteres; se rechazan las contraseñas comunes y las filtradas.
• Autenticación en dos pasos: una aplicación de autenticación (TOTP) o una llave de acceso (passkey: Face ID, Touch ID, Windows Hello, una llave de seguridad). Las llaves de acceso también pueden sustituir por completo a la contraseña. Guarda los códigos de recuperación que se muestran al activar la 2FA.
• Un administrador puede exigir la 2FA a todos los miembros de la organización.
• Añadir o quitar un factor vuelve a pedirte la contraseña o un código, y recibes un correo al respecto.
• Tras 10 segundos factores incorrectos en un día, el segundo factor de la cuenta se bloquea durante 15 minutos (más si vuelve a ocurrir), y se te avisa por correo.
• Sesiones: consulta dónde tienes la sesión iniciada y cierra la de otros dispositivos desde tu propia página de seguridad.
• Los inicios de sesión fallidos repetidos desde una misma red se bloquean durante 15 minutos.

Sitios: el firewall de aplicaciones web

Cada sitio puede funcionar detrás de un WAF (Coraza con el OWASP Core Rule Set) en uno de tres modos: desactivado, detección (solo registra) o bloqueo. Los sitios nuevos empiezan en el modo predeterminado de tu organización. Puedes subir el nivel de paranoia, excluir una regla para una ruta cuando bloquea algo legítimo y añadir cabeceras de seguridad (incluida una Content-Security-Policy). Las peticiones bloqueadas y detectadas aparecen en el registro WAF del sitio durante 30 días.

Servidores: firewall, países y bloqueos

• Reglas de firewall por servidor y reglas por país para HTTPS y SFTP (permitir solo algunos países o bloquear algunos), basadas en la base de datos de países DB-IP Lite. Los servicios de correo pueden tener sus propias reglas.
• La protección contra fuerza bruta bloquea una dirección tras inicios de sesión fallidos repetidos, por ejemplo en SFTP o en el correo. Los bloqueos aparecen en el panel y pueden levantarse a mano; un bloqueo IPv6 cubre toda la red /64.

El registro de auditoría

Cada acción en el panel y en la API se escribe en un registro de auditoría que ni la propia cuenta de base de datos del panel puede reescribir. Cada entrada se encadena con la anterior mediante un hash, y un ancla diaria firmada se guarda durante siete años en un almacenamiento de escritura única; un cambio hecho directamente en la base de datos se detecta y genera una alerta. Tu organización puede buscar en su registro y exportarlo (CSV o JSON). Las direcciones IP del registro se acortan a su red al cabo de 90 días.

SO y dependencias

PlusPanel OS y el agente los parcheamos nosotros; consulta Actualizaciones de seguridad del SO. Los sitios WordPress se revisan a diario en busca de plugins vulnerables y archivos plantados; consulta Análisis de seguridad de WordPress.

Informar de una vulnerabilidad

Escribe a ops@pluspanel.net con “security” en el asunto.