Zabezpečení Web aplikace spočívá jednak v zabezpečení aplikace před neoprávněným použitím (systém uživatelů a oprávnění) a také v zabezpečení Web serveru a HTTP protokolu (šifrování, nastavení zabezpečení v hlavičkách, atd.).
Správa a nastavení uživatelů a skupin uživatelů
U všech PROMOTIC uživatelů (lokálních i síťových) se nastavují kritéria, která při přihlašování musí uživatel splnit, aby byl systémem akceptován. Jedná se zejména o přihlašovací jméno a heslo. Ověření totožnosti uživatele má velký význam pro následné omezení přístupu uživatelů ke kritickým částem aplikace pomocí vytváření oprávnění u jednotlivých částí aplikace nebo pomocí skriptů. K vlastnímu omezení přístupu jednotlivých uživatelů ke kritickým částem aplikace se využívá zařazování uživatele do skupin uživatelů (lze použít i přiřazení priority uživateli).
K autentizaci PROMOTIC uživatelů lze použít
Basic nebo
Digest autentizaci, k autentizaci
Windows uživatelů v doméně lze použít
NTLM autentizaci. Volba autentizace se provede v konfigurátoru "
Rozšířená konfigurace".
Upozornění! U
Basic autentizace je jméno a heslo v hlavičkách HTTP požadavků v kódování
Base64 (nešifrované podoba, takže je zjistitelná). Proto je lepší použít šifrovaný protokol
HTTPS, který toto nebezpečí značně eliminuje. Další možností je použít zabezpečenou
Digest autentizaci, takže heslo není zjistitelné. Místo hesla je uveden pouze otisk hesla (
Hash) tzn.
Digest. Nejvyšší stupeň ochrany poskytuje
NTLM autentizace
Windows uživatelů v doméně, kde autentizaci provádí přímo prohlížeč vůči doméně. Používá se především v intranetu v podnicích.
Viz
Uživatelé,
Oprávnění,
PmUser,
Uživatelé a oprávnění.
HTTPS - zabezpečený HTTP protokol
Nastavením konfigurátoru "
https služba" lze zabezpečit šifrování spojení mezi Web prohlížečem a Web serverem jako ochranu před odposloucháváním a podvržením dat.
HTTPS (
Hypertext Transfer Protocol Secure) používá protokol
HTTP, a přenášená data jsou šifrována pomocí
SSL/TLS. Základním kamenem zabezpečení poskytovaného protokoly
SSL/TLS jsou
digitální certifikáty.
Viz
HTTPS - zabezpečený HTTP protokol.
Nastavení hlaviček v HTTP odpovědi Web serveru
Existují hlavičky HTTP požadavku (
RequestHeaders), ty nastavuje Web prohlížeč. Dále existují hlavičky HTTP odpovědi (
ResponseHeaders), ty nastaví Web server PROMOTIC. Hlavičkami se dá velmi ovlivnit úroveň bezpečnosti a chování prohlížečů, HTTP komunikace.
Viz
Rozšířená konfigurace.