Stela Apartmani — sigurna migracija s ranjivog CMS-a na Laravel

Izazov

Stela Apartmani je obiteljski biznis koji već 30 godina prima goste na plaži kraj Šibenika. Stranica je odavno bila na šest jezika — hrvatski, engleski, njemački, ruski, češki i kineski — ali je radila na vlastitom CMS-u, PHP sustavu iz doba PHP-a 7.2, s ručno pisanim admin panelom kroz koji je vlasnik uređivao apartmane, galeriju i blog.

Neovisna sigurnosna revizija te stare stranice pronašla je devet kritičnih ranjivosti: lozinka baze podataka u čistom tekstu u konfiguracijskoj datoteci, SQL injection na desetke mjesta kroz spajanje stringova, admin lozinke spremljene bez ikakvog hashiranja, XSS u kontakt formi, izostanak CSRF zaštite na svim formama — i cijela aplikacija, uključujući konfiguraciju i admin panel, sjedila je izravno u web-dostupnom direktoriju.

Trebala je nova stranica, ne zakrpa, uz zadržavanje SEO pozicije i šestojezičnog dosega prema turistima.

Rješenje

Staru stranicu sam u potpunosti zamijenio novom, izgrađenom na Laravelu s Livewireom i Voltom. Dizajn je isporučio klijent — moj posao bio je inženjerstvo: siguran admin CMS koji zamjenjuje otvoreni admin/ direktorij, Eloquent i pripremljeni upiti posvuda umjesto spajanja stringova, hashirana autentikacija kroz Fortify i CSRF zaštita na svakoj formi, uz datoteke strukturirane izvan web korijena po Laravelovoj konvenciji.

Za šest jezika izgradio sam pravu arhitekturu prijevoda — odvojene tablice prijevoda po tipu sadržaja, s prevedenim slugovima za svaki jezik radi SEO-a. Admin panel je uvijek na hrvatskom, dok javna stranica jezik određuje kroz tri razine: odabir u sesiji, zatim jezik preglednika, pa tek onda zadana vrijednost — potpuno odvojeno od admin lokalizacije.

Što sam izgradio

• Migracija sa starog CMS-a — sve ranjivosti iz sigurnosne revizije zatvorene prelaskom na Laravel
• Stranica na šest jezika — hr/en/de/ru/cz/zh s prevedenim slugovima, uključujući ispravak za kineske slugove (pinyin transliteracija)
• Admin CMS po mjeri — sekcije početne stranice, apartmani i sadržaji, kategorije galerije, blog s automatskim izračunom vremena čitanja, vodiči, statične stranice, recenzije
• Katalog apartmana — galerija slika po apartmanu s odabirom glavne fotografije i promjenom redoslijeda povlačenjem
• Forme za rezervacije i kontakt — Google reCAPTCHA zaštita i GDPR banner za kolačiće
• 301 preusmjerenja sa stare stranice — SEO pozicija zadržana kroz cijelu migraciju

Rezultati

• Devet kritičnih ranjivosti zatvoreno — izložene lozinke baze, SQL injection, lozinke bez hashiranja i XSS su povijest
• Vlasnik i dalje uređuje sve sam — apartmane, blog i stranice na šest jezika, iz jednog panela
• SEO pozicija zadržana — stara stranica preusmjerena na novu bez gubitka ranga
• Ništa više nije izloženo — konfiguracija, logovi i admin sučelje više nisu dostupni izravno kroz preglednik