Devet kritičnih ranjivosti iz sigurnosne revizije zatvoreno, a vlasnik i dalje uređuje stranicu na šest jezika sam.
Izazov
Stela Apartmani je obiteljski biznis koji već 30 godina prima goste na plaži kraj Šibenika. Stranica je odavno bila na šest jezika — hrvatski, engleski, njemački, ruski, češki i kineski — ali je radila na vlastitom CMS-u, PHP sustavu iz doba PHP-a 7.2, s ručno pisanim admin panelom kroz koji je vlasnik uređivao apartmane, galeriju i blog.
Neovisna sigurnosna revizija te stare stranice pronašla je devet kritičnih ranjivosti: lozinka baze podataka u čistom tekstu u konfiguracijskoj datoteci, SQL injection na desetke mjesta kroz spajanje stringova, admin lozinke spremljene bez ikakvog hashiranja, XSS u kontakt formi, izostanak CSRF zaštite na svim formama — i cijela aplikacija, uključujući konfiguraciju i admin panel, sjedila je izravno u web-dostupnom direktoriju.
Trebala je nova stranica, ne zakrpa, uz zadržavanje SEO pozicije i šestojezičnog dosega prema turistima.
Rješenje
Staru stranicu sam u potpunosti zamijenio novom, izgrađenom na Laravelu s Livewireom i Voltom. Dizajn je isporučio klijent — moj posao bio je inženjerstvo: siguran admin CMS koji zamjenjuje otvoreni admin/ direktorij, Eloquent i pripremljeni upiti posvuda umjesto spajanja stringova, hashirana autentikacija kroz Fortify i CSRF zaštita na svakoj formi, uz datoteke strukturirane izvan web korijena po Laravelovoj konvenciji.
Za šest jezika izgradio sam pravu arhitekturu prijevoda — odvojene tablice prijevoda po tipu sadržaja, s prevedenim slugovima za svaki jezik radi SEO-a. Admin panel je uvijek na hrvatskom, dok javna stranica jezik određuje kroz tri razine: odabir u sesiji, zatim jezik preglednika, pa tek onda zadana vrijednost — potpuno odvojeno od admin lokalizacije.
Što sam izgradio
- Migracija sa starog CMS-a — sve ranjivosti iz sigurnosne revizije zatvorene prelaskom na Laravel
- Stranica na šest jezika — hr/en/de/ru/cz/zh s prevedenim slugovima, uključujući ispravak za kineske slugove (pinyin transliteracija)
- Admin CMS po mjeri — sekcije početne stranice, apartmani i sadržaji, kategorije galerije, blog s automatskim izračunom vremena čitanja, vodiči, statične stranice, recenzije
- Katalog apartmana — galerija slika po apartmanu s odabirom glavne fotografije i promjenom redoslijeda povlačenjem
- Forme za rezervacije i kontakt — Google reCAPTCHA zaštita i GDPR banner za kolačiće
- 301 preusmjerenja sa stare stranice — SEO pozicija zadržana kroz cijelu migraciju
Rezultati
- Devet kritičnih ranjivosti zatvoreno — izložene lozinke baze, SQL injection, lozinke bez hashiranja i XSS su povijest
- Vlasnik i dalje uređuje sve sam — apartmane, blog i stranice na šest jezika, iz jednog panela
- SEO pozicija zadržana — stara stranica preusmjerena na novu bez gubitka ranga
- Ništa više nije izloženo — konfiguracija, logovi i admin sučelje više nisu dostupni izravno kroz preglednik
