TYPO3 beveiliging
Bescherm je TYPO3 installatie tegen aanvallen. Best practices, configuratie tips en security extensies voor maximale beveiliging.
12 essentiële TYPO3 beveiligings tips
Implementeer deze maatregelen om je TYPO3 site direct veiliger te maken
Houd TYPO3 up-to-date
Update regelmatig naar de nieuwste versie. TYPO3 Security Team brengt maandelijks security updates uit.
Gebruik sterke wachtwoorden
Minimaal 16 tekens voor admin accounts. Gebruik een password manager. Forceer dit via password policy.
Beveilig Install Tool
Stel een sterk Install Tool wachtwoord in en blokkeer toegang via IP whitelist. Verwijder /INSTALL.md.
Configureer trusted hosts
Stel trustedHostsPattern in zodat TYPO3 alleen reageert op je eigen domeinnamen. Voorkomt host header attacks.
Gebruik HTTPS overal
Forceer SSL voor hele site en vooral backend. Configureer HSTS headers. Gratis SSL via Let's Encrypt.
Beperk backend toegang
Blokkeer /typo3 via .htaccess voor alle IP's behalve je kantoor. Of gebruik VPN toegang.
Disable file upload voor editors
Beperk welke bestanden geüpload kunnen worden. Blokkeer .php, .html in fileadmin. Gebruik fileDenyPattern.
Verberg TYPO3 versie
Verwijder X-TYPO3-Parsetime header en generator meta tag. Hackers kunnen versie-specifieke exploits dan niet vinden.
Implementeer Content Security Policy
CSP headers beschermen tegen XSS attacks. Configureer via .htaccess of nginx config.
Maak dagelijkse backups
Automatische backups van database en files. Test of restore werkt. Bewaar backups offsite.
Monitor security bulletins
Volg TYPO3 Security Advisories via typo3.org/security. Patch kritieke issues direct.
Gebruik twee-factor authenticatie
Installeer 2FA extensie voor backend. Zelfs met gelekt wachtwoord kan niemand inloggen.
Security configuratie in TYPO3
Belangrijke instellingen voor een veilige TYPO3 installatie
LocalConfiguration.php
Beveilig je installatie via deze configuratie opties:
// Trusted hosts pattern
'SYS' => [
'trustedHostsPattern' => 'jouwdomein\.nl',
],
// Disable deprecation log
'LOG' => [
'TYPO3' => [
'CMS' => [
'deprecations' => [
'writerConfiguration' => [
\TYPO3\CMS\Core\Log\LogLevel::NOTICE => [],
],
],
],
],
],
.htaccess beveiliging
Voeg deze regels toe aan je .htaccess voor extra beveiliging:
# Blokkeer toegang tot gevoelige bestanden
<FilesMatch "\.(bak|config|sql|fla|psd|ini|log|sh|inc|swp|dist)$">
Require all denied
</FilesMatch>
# Security headers
Header set X-Frame-Options "SAMEORIGIN"
Header set X-Content-Type-Options "nosniff"
Header set X-XSS-Protection "1; mode=block"
Header set Referrer-Policy "strict-origin-when-cross-origin"
File permissions
Correcte file rechten zijn cruciaal voor beveiliging:
- Directories: 755 (rwxr-xr-x)
- Bestanden: 644 (rw-r--r--)
- Nooit 777 gebruiken!
- LocalConfiguration.php: 660
Extensie beveiliging
Let op deze punten bij extensies:
- Installeer alleen extensies van TER
- Check laatste update datum
- Lees reviews en security advisories
- Verwijder ongebruikte extensies
Aanbevolen security extensies
Deze TYPO3 extensies versterken je beveiliging
typo3/cms-core
TYPO3 core bevat al veel security features. Houd altijd up-to-date voor laatste patches.
- • Password policies
- • CSRF protection
- • XSS filtering
- • SQL injection prevention
totp (2FA)
Twee-factor authenticatie voor backend. Gebruik Google Authenticator of Authy app.
- • TOTP based (RFC 6238)
- • Per gebruiker in te schakelen
- • Backup codes
- • Gratis en open source
secureweb
Extra security headers en configuratie opties voor enterprise installaties.
- • Content Security Policy
- • Security headers
- • Cookie security
- • HTTPS enforcement
Veel voorkomende aanvallen
Waar TYPO3 sites tegen beschermd moeten worden
SQL Injection
Aanvallers proberen database queries te manipuleren via input velden.
Bescherming: TYPO3 gebruikt prepared statements. Gebruik altijd Extbase query builders, nooit raw SQL.
Cross-Site Scripting (XSS)
Malicious JavaScript code injecteren in pagina's om gebruikers aan te vallen.
Bescherming: Gebruik Fluid's escaping. Nooit user input direct in HTML outputten zonder htmlspecialchars().
Brute Force aanvallen
Geautomatiseerde pogingen om in te loggen met verschillende wachtwoorden.
Bescherming: Implementeer rate limiting, IP blokkering na X pogingen, gebruik 2FA.
File Upload exploits
Upload van malicious bestanden (.php scripts) via formulieren.
Bescherming: Configureer fileDenyPattern, valideer MIME types, bewaar uploads buiten webroot.
Hosting met security features
Kies hosting met firewall, malware scanning en dagelijkse backups voor extra bescherming.