Laravel
3 artículos con esta etiqueta
Seguridad de Laravel — una referencia de hardening para producción
Los valores por defecto de Laravel son sólidos; los incidentes de producción vienen de la configuración y la operación. Esta es una referencia de trabajo: (1) un checklist de hardening ordenado por prioridad (P0–P2), (2) una tabla de valores por defecto peligrosos, (3) guía por área — secretos/APP_KEY, config de producción (APP_DEBUG/caché), autorización (Policy/Gate, Mass Assignment), inyección/salida (binding de Eloquent, Blade), sesiones/CSRF/cookies, subidas de archivos, HTTPS/cabeceras/limitación de tasa, CVE de dependencias de Composer, y (4) un checklist de autoverificación. Solo defensivo — sin pasos de ataque.
Un caso en que el .env de Laravel era legible públicamente: un error de ubicación en hosting compartido y cómo corregirlo
La causa: toda la app estaba bajo la raíz web; solo public/ debería ser visible. Corrige en tres pasos — un bloqueo temporal con .htaccess, rotar claves, reestructurar — y luego prevenlo con proceso.
Mantener el .env fuera de la web pública en hosting compartido
La solución principal: el cuerpo de la app fuera del docroot, solo public/ expuesto. Bloquea primero el acceso con .htaccess, hazlo permanente reestructurando, luego autocomprueba. La visión de este sitio: esto no es el descuido de una persona sino un diseño peligroso que se volvió estándar en todo el sector — arréglalo con proceso, no con vigilancia. bootstrap-redirect vence al symlink.