Безопасность при входе (Login Security)

Расширение Login Security обеспечивает больше регистрации журналов и предупреждений о том, кто получает доступ к вашей CiviCRM.

• Оно сохраняет историю последних устройств, которые получали доступ к CiviCRM (с их IP-адресом и отпечатком браузера). Оно зарегистрировает пользователей и доступа к API. Обратите внимание, что оно не ведет полный журнал просмотренных страниц, а только журнал устройств. "Последний визит" обновляется каждые 15 минут.
• Предоставляет глобальный отчет для администраторов.
• Обеспечивает новую проверку системного статуса CiviCRM, если слишком много неудачных входов в систему (в настоящее время поддерживает только Drupal7 и Drupal8/9).
• Может отправлять уведомление по электронной почте пользователю и/или администраторам, когда кто-то получает доступ к вашей CiviCRM.

Его цель - повысить безопасность CiviCRM за счет добавления дополнительных функций аудита, но это ни в коем случае не волшебная палочка для безопасности.

Начало

Скачите и включите расширение, так же как и любое другое расширение CiviCRM. Подробнее об скачивания расширений, см. Руководство системного администратора CiviCRM.

После скачивания, расширение можно настроить в пункте меню Администрация > Параметры системы > Безопасность при входе.

• Уведомления пользователей (user notifications): если включено, CiviCRM будет отправлять пользователям уведомления по электронной почте, когда они обращаются к CiviCRM.
• Уведомления администратора (admin notifications): если включено, CiviCRM будет отправлять уведомления администратору по электронной почте, когда любой пользователь обращается к CiviCRM.
• Электронная почта админитратора (admin emails): если предыдущий параметр включен, здесь можно ввести адреса электронной почты для уведомления администраторов. Другими словами, CiviCRM не будет уведомлять всех администраторов, а только электронные почты в этой настройке.

Как вы могли заметить в форме настроек, у уведомлений есть два варианта:

1. Только для новых устройств или местоположений: поскольку IP-адреса, местоположение и отпечаток браузера записываются, расширение может уведомлять только о новых устройствах. Это помогает избежать слишком большого количества уведомлений для ежедневных пользователей.
2. Для каждого нового сеанса: уведомления будут отправляться всегда.

Наконец, вышеуказанные проверки выполняются для новых сеансов. Сеанс - это когда пользователь входит в систему и впервые обращается к CiviCRM. Они могут находиться в системе на несколько часов или несколько дней. Это зависит от настроек системы управления содержание, которая обрабатывает вход в систему.

Обычные пользователи могут просмотреть свою историю доступа, перейдя в свою контактную запись, а затем перейдя на вкладку «История доступа».

Просмотр истории доступа контакта

Администраторы могут увидеть историю доступа любого контакта. Контакт также может просматривать свою историю доступа.

Чтобы просмотреть историю доступа определенного контакта, перейдите к его записи контакта CiviCRM, затем щелкните вкладку «История доступа».

Отчет об истории доступа

Отчет о последних доступах, доступный для администраторов. Также доступен дашлет, который можно добавить в приборная панель (дашборд) CiviCRM.

Предупреждения о неудачных попытках входа в систему

При использовании CiviCRM на Drupal, это расширение автоматически проверяет наличие неудачных попыток входа в систему. Если за последний час было зарегистрировано более 10 неудачных попыток входа в систему, в проверке состояния CiviCRM будет отображаться «критическое предупреждение». Это может помочь обнаружить попытки угадать пароли. Основная причина, по которой это было реализовано как проверка состояния, заключается в том, что хостинг-провайдеры, которые отслеживают эту проверку, автоматически получают уведомления об этих предупреждениях.

Запуск CiviCRM через прокси

Если CiviCRM размещается за прокси-сервером, например CloudFlare или Varnish, это повлияет на то, какой IP-адрес зарегистрируется. В этом случае есть параметр, который можно включить в разделе «Администрация» > «Параметры системы» > «Безопасность входа». Однако это должно быть включено только в том случае, если вы находитесь за прокси-сервером, иначе посетители могут подделывать свои IP-адреса. Включение этого параметра также предполагает, что система ограничения доступа (firewall) блокирует все запросы, кроме запросов от прокси. Eсли вы не уверены, обратитесь к своему хостинг-провайдеру.