Laravel
3 artículos con esta etiqueta
Seguridad de Laravel — una referencia de hardening para producción
Los valores por defecto de Laravel son sólidos; los incidentes de producción vienen de la configuración y la operación. Esta es una referencia de trabajo: (1) un checklist de hardening ordenado por prioridad (P0–P2), (2) una tabla de valores por defecto peligrosos, (3) guía por área — secretos/APP_KEY, config de producción (APP_DEBUG/caché), autorización (Policy/Gate, Mass Assignment), inyección/salida (binding de Eloquent, Blade), sesiones/CSRF/cookies, subidas de archivos, HTTPS/cabeceras/limitación de tasa, CVE de dependencias de Composer, y (4) un checklist de autoverificación. Solo defensivo — sin pasos de ataque.
El .env de apps Laravel era legible por todo el mundo — el error más común del hosting compartido
La causa: toda la app estaba bajo la raíz web; solo public/ debería ser visible. Corrige en tres pasos — primeros auxilios con .htaccess, rotar claves, reestructurar — y luego prevenlo con proceso.
Mantener el .env fuera de la web pública en hosting compartido
La solución real: el cuerpo de la app fuera del docroot, solo public/ expuesto. Frena la hemorragia con .htaccess, hazlo permanente reestructurando, luego autocomprueba. La visión de este sitio: esto no es el descuido de una persona sino un mal patrón estandarizado por el sector — arréglalo con proceso, no con vigilancia. bootstrap-redirect vence al symlink.