الأمان

حماية تسجيل الدخول، سياسة كلمة المرور، رؤوس أمان المحتوى، المصادقة الثنائية العامل، ونظام كشف الاقتحام الخفيف الوزن.

يمكن الوصول إلى هذه الإعدادات تحت إدارة > إعدادات التكوين > الأمان. تحتوي هذه الفئة على 31 إعدادًا، مدرجة أدناه مع العنوان والتعليق المرسل في إعدادات المنصة (SettingsCurrentFixtures.php).

يُعرض اسم المتغير في الكود بخط monospace. استخدمه عند البرمجة عبر API أو عند الحاجة إلى تغيير هذه الإعدادات على المستوى العام بتحرير config/settings_override.yaml.

الإعدادات

`2fa_enable`

تفعيل 2FA

يضيف حقولًا في صفحة تحديث كلمة المرور لتفعيل 2FA باستخدام تطبيق مصادقة TOTP. عند تعطيله عالميًا، لن يرى المستخدمون حقول 2FA ولن يُطلب منهم 2FA عند تسجيل الدخول، حتى لو كانوا قد فعّلوه سابقًا.

افتراضي: false

`access_to_personal_file_for_all`

الوصول إلى الملف الشخصي للجميع

يسمح بالوصول إلى جميع الملفات الشخصية دون قيود

افتراضي: false

`admins_can_set_users_pass`

يمكن للمشرفين تعيين كلمات مرور المستخدمين يدويًا

[مستنتج] عند التفعيل، يمكن للمشرفين تعيين كلمات مرور المستخدمين يدويًا مباشرة دون الحاجة إلى إعادة تعيينها من قبل المستخدمين.

`allow_captcha`

CAPTCHA

تفعيل CAPTCHA في نموذج تسجيل الدخول، ونموذج التسجيل، ونموذج كلمة المرور المفقودة لتجنب هجمات كلمة المرور المتكررة

افتراضي: false

`allow_online_users_by_status`

تصفية المستخدمين الذين يمكن رؤيتهم كمتصلين

يحد من رؤية المستخدمين المتصلين إلى أدوار مستخدمين محددة.

`allow_strength_pass_checker`

فاحص قوة كلمة المرور

تفعيل هذا الخيار لإضافة مؤشر بصري لقوة كلمة المرور، عندما يغير المستخدم كلمة مروره. هذا لن يمنع إضافة كلمات مرور ضعيفة، بل يعمل فقط كمساعد بصري.

افتراضي: true

`anonymous_autoprovisioning`

إنشاء تلقائي لمزيد من المستخدمين المجهولين

يُنشئ مستخدمين مجهولين جددًا ديناميكيًا لدعم حركة مرور الزوار العالية.

افتراضي: false

`captcha_number_mistakes_to_block_account`

عدد الأخطاء المسموح بها في CAPTCHA

عدد المرات التي يمكن للمستخدم ارتكاب خطأ في CAPTCHA قبل قفل حسابه.

`captcha_time_to_block`

مدة قفل حساب CAPTCHA

إذا وصل المستخدم إلى الحد الأقصى للأخطاء في تسجيل الدخول (عند استخدام CAPTCHA)، سيتم قفل حسابه لهذه الدقائق.

`check_password`

فحص متطلبات كلمة المرور

تفعيل التحقق من متطلبات كلمة المرور المحددة أعلاه أثناء إنشاء كلمة المرور أو تحديثها.

افتراضي: false

`filter_terms`

مصطلحات التصفية

قائمة بمصطلحات، سطرًا واحدًا لكل مصطلح، لتصفيتها من صفحات الويب والبريد الإلكتروني. سيتم استبدال هذه المصطلحات بـ ***.

`force_renew_password_at_first_login`

إجبار تجديد كلمة المرور عند تسجيل الدخول الأول

هذا إجراء بسيط لزيادة أمان بوابتك بطلب من المستخدمين تغيير كلمة مرورهم فورًا، حتى لا تكون كلمة المرور المرسلة بالبريد الإلكتروني صالحة بعد ذلك، ويستخدمون كلمة مرور اختاروها هم وهم الوحيدون الذين يعرفونها.

افتراضي: false

`hide_breadcrumb_if_not_allowed`

إخفاء الشريط التنقلي إذا 'غير مسموح'

إذا لم يُسمح للمستخدم بالوصول إلى صفحة معينة، قم أيضًا بإخفاء الشريط التنقلي. هذا يزيد الأمان بتجنب عرض معلومات غير ضرورية.

افتراضي: false

`login_max_attempt_before_blocking_account`

أقصى محاولات تسجيل دخول قبل الإغلاق

عدد محاولات تسجيل الدخول الفاشلة المسموح بها قبل قفل حساب المستخدم ويحتاج إلى فك القفل من قبل مشرف.

افتراضي: 0

`password_requirements`

المتطلبات النحوية الدنيا لكلمة المرور

يحدد الهيكل المطلوب لكلمات مرور المستخدمين. مثال: {"min":{"length":8,"lowercase":1,"uppercase":1,"numeric":1,"specials":1}}. استخدم "specials" (جمع) للمطالبة بحروف خاصة.

`password_rotation_days`

فاصل تدوير كلمة المرور (أيام)

عدد الأيام قبل أن يجب على المستخدمين تدوير كلمة مرورهم (0 = معطل).

افتراضي: 0

`prevent_multiple_simultaneous_login`

منع تسجيل الدخول المتزامن

منع المستخدمين من الاتصال بنفس الحساب أكثر من مرة. هذا خيار جيد في البوابات المدفوعة حسب الوصول، لكنه قد يكون مقيدًا أثناء الاختبار حيث يمكن لمتصفح واحد فقط الاتصال بأي حساب معين.

افتراضي: false

`proxy_settings`

إعدادات الوكيل

بعض ميزات Chamilo ستتصل بالخارج من الخادم. على سبيل المثال، للتأكد من وجود محتوى خارجي عند إنشاء رابط أو عرض صفحة مدمجة في مسار التعلم. إذا كان خادم Chamilo يستخدم وكيلًا للخروج من شبكته، فهذا هو المكان لتكوينه.

`security_block_inactive_users_immediately`

حظر المستخدمين المعطلين فورًا

حظر المستخدمين الذين عطّلهم المشرف عبر إدارة المستخدمين فورًا. وإلا، سيحتفظ المستخدمون المعطلون بامتيازاتهم السابقة حتى يسجلوا الخروج.

افتراضي: false

`security_content_policy`

سياسة أمان المحتوى

سياسة أمان المحتوى هي إجراء فعال لحماية موقعك من هجمات XSS. من خلال السماح بمصادر المحتوى المعتمدة، يمكنك منع المتصفح من تحميل الأصول الضارة. هذا الإعداد معقد بشكل خاص مع محررات WYSIWYG، ولكن إذا أضفت جميع النطاقات التي تريد السماح بها لتضمين الـ iframes في بيان child-src، يجب أن يعمل هذا المثال لك. يمكنك منع تنفيذ JavaScript من مصادر خارجية (بما في ذلك داخل صور SVG) باستخدام قائمة صارمة في معامل 'script-src'. اتركه فارغًا لتعطيله. مثال على الإعداد: default-src 'self'; script-src 'self' 'unsafe-eval' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; child-src 'self' *.youtube.com yt.be *.vimeo.com *.slideshare.com;

`security_content_policy_report_only`

سياسة أمان المحتوى - الإبلاغ فقط

يسمح هذا الإعداد بالتجربة من خلال الإبلاغ دون فرض بعض سياسة أمان المحتوى.

`security_public_key_pins`

تثبيت مفتاح عام HTTP

يحمي تثبيت مفتاح عام HTTP موقعك من هجمات MiTM باستخدام شهادات X.509 المزيفة. من خلال السماح فقط بالهويات التي يجب أن يثق بها المتصفح، يتم حماية مستخدميك في حالة اختراق جهة الشهادات.

`security_public_key_pins_report_only`

تثبيت مفتاح عام HTTP - الإبلاغ فقط

يسمح هذا الإعداد بالتجربة من خلال الإبلاغ دون فرض بعض تثبيت مفتاح عام HTTP.

`security_referrer_policy`

سياسة الإحالة الأمنية

سياسة الإحالة هي رأس جديد يسمح للموقع بالتحكم في مقدار المعلومات التي يدرجها المتصفح مع التنقل بعيدًا عن الوثيقة ويجب تعيينه من قبل جميع المواقع.

افتراضي: origin-when-cross-origin

`security_session_cookie_samesite_none`

كعكة الجلسة samesite

تفعيل معامل samesite:None لكعكة الجلسة. معلومات إضافية: https://www.chromium.org/updates/same-site and https://developers.google.com/search/blog/2020/01/get-ready-for-new-samesitenone-secure

افتراضي: false

`security_strict_transport`

أمان نقل HTTP الصارم

أمان نقل HTTP الصارم هو ميزة ممتازة لدعمها على موقعك وتعزز تنفيذك لـ TLS من خلال إجبار وكيل المستخدم على فرض استخدام HTTPS. القيمة الموصى بها: 'strict-transport-security: max-age=63072000; includeSubDomains'. انظر https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security. يمكنك تضمين اللاحقة 'preload'، لكن لهذا عواقب على النطاق العلوي (TLD)، لذا ربما لا تُفعل بسهولة. انظر https://hstspreload.org/. اتركه فارغًا لتعطيله.

`security_x_content_type_options`

X-Content-Type-Options

X-Content-Type-Options تمنع المتصفح من محاولة استكشاف نوع المحتوى MIME وتجبره على الالتزام بنوع المحتوى المعلن. القيمة الصالحة الوحيدة لهذا الرأس هي 'nosniff'.

افتراضي: nosniff

`security_x_frame_options`

X-Frame-Options

X-Frame-Options تخبر المتصفح عما إذا كنت تريد السماح بتضمين موقعك في إطار أم لا. من خلال منع المتصفح من تضمين موقعك، يمكنك الدفاع عن هجمات مثل clickjacking. إذا حددت عنوان URL هنا، يجب أن يحدد العنوانات (URLs) التي يجب أن يكون المحتوى مرئيًا منها، وليس العناوين التي يقبل منها موقعك المحتوى. على سبيل المثال، إذا كان عنوان URL الرئيسي (root_web أعلاه) هو https://11.chamilo.org/، فإن هذا الإعداد يجب أن يكون: 'ALLOW-FROM https://11.chamilo.org'. تنطبق هذه الرؤوس فقط على الصفحات التي تتحمل Chamilo مسؤولية إنشاء رؤوس HTTP (أي ملفات '.php'). لا تنطبق على الملفات الثابتة. إذا لعبت بهذه الميزة، تأكد من تحديث تكوين خادم الويب الخاص بك أيضًا لإضافة الرؤوس المناسبة للملفات الثابتة. انظر وثائق تكوين CDN أعلاه (ابحث عن 'add_header') لمزيد من المعلومات. القيمة الموصى بها (الصارمة) لهذا الإعداد، إذا تم تفعيلها: 'SAMEORIGIN'.

افتراضي: SAMEORIGIN

`security_xss_protection`

X-XSS-Protection

X-XSS-Protection تحدد التكوين لفلتر الـ cross-site scripting المدمج في معظم المتصفحات. القيمة الموصى بها '1; mode=block'.

افتراضي: 1; mode=block

`user_reset_password`

تفعيل رمز إعادة تعيين كلمة المرور

يسمح هذا الخيار بإنشاء رمز لمرة واحدة منتهي الصلاحية يُرسل بالبريد الإلكتروني إلى المستخدم لإعادة تعيين كلمة المرور الخاصة به.

افتراضي: false

`user_reset_password_token_limit`

حد زمني لرمز إعادة تعيين كلمة المرور

عدد الثواني قبل انتهاء صلاحية الرمز المُنشأ تلقائيًا وعدم إمكانية استخدامه (يجب إنشاء رمز جديد).

افتراضي: 3600

السابقالبحث التاليالجلسات

آخر تحديث قبل 28 يومًا

هل كان هذا مفيدا؟