• mod_security + mod_rewrite
• Evitar spam en los campos POST de los formularios
• Activar mod_security en DreamHost
• Descativar mod_security para una determinada IP
• Descativar mod_security con autorización en htaccess
• Ejemplo de configuración para DreamHost
• Bloquear spam
• Forzar espera de ms en conexiones
• Permitir ciertos REQUEST_METHODS
• y más

mod_security Guide and Examples of use in .htaccess

Ofrece mecanismos para gestionar:

• Número máximo de peticiones concurrentes a una URL o a un dominio virtual.
• Limitación del ancho de banda, ya sea por número de peticiones por segundo o kilobytes por segundo.
• Posibilidad de detectar usuarios especiales que no sufriran las restricciones o lo harán en menor grado.
• Denegar operaciones no autorizadas
• Limitaciones en el nivel TCP, por ejemplo el número máximo de conexiones permitidas desde una IP.

mod_qos

Vía / Apache-es

ErrorDocument 403 /403.html
 
RewriteEngine On
RewriteBase /
 
# IF THE UA STARTS WITH THESE
RewriteCond %{HTTP_USER_AGENT} ^(aesop_com_spiderman|alexibot|backweb|bandit|batchftp|bigfoot) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(black.?hole|blackwidow|blowfish|botalot|buddy|builtbottough|bullseye) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(cheesebot|cherrypicker|chinaclaw|collector|copier|copyrightcheck) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(cosmos|crescent|curl|custo|da|diibot|disco|dittospyder|dragonfly) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(drip|easydl|ebingbong|ecatch|eirgrabber|emailcollector|emailsiphon) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(emailwolf|erocrawler|exabot|eyenetie|filehound|flashget|flunky) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(frontpage|getright|getweb|go.?zilla|go-ahead-got-it|gotit|grabnet) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(grafula|harvest|hloader|hmview|httplib|httrack|humanlinks|ilsebot) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(infonavirobot|infotekies|intelliseek|interget|iria|jennybot|jetcar) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(joc|justview|jyxobot|kenjin|keyword|larbin|leechftp|lexibot|lftp|libweb) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(likse|linkscan|linkwalker|lnspiderguy|lwp|magnet|mag-net|markwatch) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(mata.?hari|memo|microsoft.?url|midown.?tool|miixpc|mirror|missigua) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(mister.?pix|moget|mozilla.?newt|nameprotect|navroad|backdoorbot|nearsite) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(net.?vampire|netants|netcraft|netmechanic|netspider|nextgensearchbot) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(attach|nicerspro|nimblecrawler|npbot|octopus|offline.?explorer) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(offline.?navigator|openfind|outfoxbot|pagegrabber|papa|pavuk) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(pcbrowser|php.?version.?tracker|pockey|propowerbot|prowebwalker) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(psbot|pump|queryn|recorder|realdownload|reaper|reget|true_robot) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(repomonkey|rma|internetseer|sitesnagger|siphon|slysearch|smartdownload) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(snake|snapbot|snoopy|sogou|spacebison|spankbot|spanner|sqworm|superbot) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(superhttp|surfbot|asterias|suzuran|szukacz|takeout|teleport) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(telesoft|the.?intraformant|thenomad|tighttwatbot|titan|urldispatcher) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(turingos|turnitinbot|urly.?warning|vacuum|vci|voideye|whacker) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(wget|widow|wisenutbot|wwwoffle|xaldon|xenu|zeus|zyborg|anonymouse) [NC,OR]
 
# STARTS WITH WEB
RewriteCond %{HTTP_USER_AGENT} ^web(zip|emaile|enhancer|fetch|go.?is|auto|bandit|clip|copier|master|reaper|sauger|site.?quester|whack) [NC,OR]
 
# ANYWHERE IN UA -- GREEDY REGEX
RewriteCond %{HTTP_USER_AGENT} ^.*(craftbot|download|extract|stripper|sucker|ninja|clshttp|webspider|leacher|collector|grabber|webpictures).*$ [NC]
 
# ISSUE 403 / SERVE ERRORDOCUMENT
RewriteRule . - [F,L]

También nos ofrecen una alternativa con SetEnvIfNoCase

Blocking Bad Bots and Scrapers with .htaccess

Entre los datos que maneja Webmap nos encontramos con:

• Un trillón de elaces entre páginas.
• 300 TB de datos de salida (comprimidos).
• 5 Petabytes de disco.

El proceso no es nuevo, solo es nuevo el uso de Hadoop, el cual permite ahorrar un 66% de tiempo que la versión anterior.

Por si a alguien le interesa, unos comentarios de los desarrolladores de Yahoo.

Yahoo! Launches World's Largest Hadoop Production Application

Vía / dzone

Se trata de un software gratuito que permite crear múltiples páginas web, personalizadas usando CSS, XHTML y Javascript. Añadir herramientas como libros de visitas, blogs comunitarios, foros y wikis. Medir la actividad de un espacio, para así poder medir el estado o la repercusión.

Es necesario tener PHP5 en Apache o IIS y MySQL 4.1+, a la vez que disponer la posibilidad de modificar el dominio ya que los usuarios se crean con subdominios.

AROUNDMe collaboration server

Algunos ejemplos están centrados en DreamHost, lo que es bueno para los usuarios de este hosting.

De los ejemplos que ofrece me gustaría destacar:

Bloquear el spam de WordPress

SecFilterSignatureAction deny,nolog,status:403
SecFilterSelective ARG_url "casino|ringtone|lyrics"
SecFilterSelective ARG_comment_post_ID "^$"
 
# reject blog spam from all POST and GET fields
SecFilterSelective ARGS "blockspam|blockspam|blockspam|blockspam|blockspam|blockspam|blockspam|blockspam \
blockspam|blockspam|blockspam|blockspam|blockspam|blockspam|blockspam|blockspam|blockspam|blockspam \
nomorespam|nospam"

La directiva FilesMatch indica que solo ha de ejecutarse en esos ficheros. La línea ARG_url indica que se tomará como spam las peticiones con un campo en el form que tenga name o id como url alguno de los valores que se indican. Algo parecido pasa con la línea ARG_comment_post_ID, que tomará como spam los mensajes que no envie en campo comment_post_ID. Y la última línea busca en todos los get y post alguna de las palabras que se indican.

mod_security Guide and Examples of use in .htaccess

Además permite tres tipos de ventanas, personalizar el drop-down, y el menú contextual. Integración con el System tray y es compatible con los módulos de Apache 2.

Wapache

Vía / Jaslabs: High performance Software

Los resultados son bastante destacables, es 9 veces más rápido que Apache, se consigue un 50% más de rendimiento en PHP, mejor rendimiento con Ruby on Rails, 3 veces más rápido que Apache en SSL.

Además admite CGI, FastCGI, LSAPI, PHP, Servlet/JSP, Proxy, SSL, IPv4, IPv6, es compatible con el .htaccess, el mod_security y el mod_rewrite de Apache. La seguridad está muy bien implementada y la instalación es sencilla, disponiendo de un administrador GUI para facilitar la labor de mantenimiento.

Existen versiones comerciales, pero tambien hay disponible una versión gratuita que tiene ciertas limitaciones.

Estoy deseando probar que tal va, ¿alguien lo ha usado?.

LiteSpeed Web Server

Vía / International PHP Magazine

Una de ellas es la estructura de las URLs, las URLs siguen el formato:

http://dominio/controlador/metodo/parametro/parametro/...

El controlador es la clase que se encarga de hacer las operaciones y el método es el método de la clase que realiza una función concreta.

Por ejemplo si tenemos una tienda online, podemos tener un controlador para productos y un método que sea editar, con el que se podrá modificar las características del producto. La url sería la siguiente:

http://tienda.com/articulo/editar/cafetera

Con esta url podemos editar un artículo llamado cafetera y además es bastante entendible. Pero, ¿qué pasa si queremos mostrar el artículo cafetera?, pues que la url debería ser la siguiente:

http://tienda.com/articulo/ver/cafetera

Pero lo de ver no queda demasiado bien y queda mejor si es directamente:

http://tienda.com/articulo/cafetera

El problema nos lo encontramos cuando queremos usar una URL que no indique el método y si un parámetro. Si no usamos ni método ni parámetro, CodeIgniter toma por defecto el método index, pero si no usamos método y si parámetro, CodeIgniter no es capaz de saber que lo que mandamos es un parámetro, por lo que hay que usar el Apache para que siga la estructura de CodeIgniter.

RewriteEngine on

RewriteCond %{REQUEST_FILENAME} !-f

RewriteCond %{REQUEST_FILENAME} !-d

RewriteRule ^articulo/(.+)$ index.php/articulo/ver/$1 [L]

RewriteCond $1 !^(index\.php|favicon\.ico)

RewriteRule ^(.*)$ index.php/$1 [L]

Hay que tener en cuenta que este ejemplo es válido únicamente si solo se va a usar siempre dos segmentos en la url, uno para el controlador y otro para el parámetro.

La segunda parte y el uso de index.php es debido a que CodeIgniter usa este script para gestionar toda la aplicación, y para que no aparezca, debemos redireccionarlo todo a index.php, menos los ficheros que existen como el favicon, el robot.txt, etc.

Dentro de las características que ofrece nos encontramos con:

• Gratuito
• Servidor WAMPP (Windows, Apache, MySQL, PHP y Perl)
• No necesita instalación
• PHP 5 con muchas extensiones instaladas.
• SQLite
• MySQL 5
• Perl 5.8

La licencia es donationware, lo que quiere decir que si se dona una cantidad de dinero (10€) se podrá acceder a características ampliadas.

Server2Go

Vía / OpenSourceCommunity.org

La versión está realizado bajo licencia GNU General Public License, aunque existe una versión PRO, con licencia, que dispone de funcionalidades extra.

MAMP

Con mod_top podrás:

• Localizar cuellos de botella en tus aplicaciones.
• Solucionar problemas de gran consumo de memoria.
• Comprender el uso de CPU.
• Diagnosticar causas de poco uso y gran uso de recursos.
• Descubrir dependencias de la BD.

top_mod

Vía / VT's Tech Blog

Para aquellos que no estamos muy acostumbrados al fichero htaccess, nos viene bien una chuleta que nos muestre las acciones más usuales que se pueden realizar en Apache.

Por ello, la gente de AskApache se han creado un fichero de ejemplo con casi todas las cosas que se pueden realizar en un htaccess, prometiendo futuras ampliaciones. Entre las funcionalidades que encontramos está:

• Opciones genéricas
• Variables de entorno
• Mime Types
• Forzar la descarga del archivo
• Documentos de error
• Acciones sobre scripts
• Cabeceras, caché y optimizaciones
• Rewrites y redirecciones
• Autenticación y seguridad
• SSL
• Site en construcción

Ultimate htaccess File sample

RewriteEngine On
RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_FILENAME} !-f
RewriteBase /
RewriteRule ^clientes index.php?redirect=clientes [QSA,L]

En este caso, si accedemos a http://servidor/cliente, realmente no estaremos accediendo a una ruta física, pero puede ser que queramos que esta url no sea accesible para todo el mundo.

Para proteger una URL virtual debemos usar el comando Location, el cual debemos incluirlo en el httpd.conf o en un dominio virtual, y para protegerlo deberemos usar:

<Location /client>
AuthType Basic
AuthName "Acceso Protegido"
AuthUserFile [ruta .htpasswd]
AuthGroupFile /dev/null
order allow,deny
allow from all
deny from none
require valid-user
</Location>

El artículo está dividido en dos partes: una para configurar Apache y la otra para PHP, existe un documento anterior en el que explican la arquitectura LAMP y como configurar Linux.

Inicialmente para Apache nos explica cómo configurar el MPM (Multi-Processing Modules), el cual ayuda a manejar las conexiones entrantes y las salientes, podremos indicar el número máximo de clientes y el número de peticiones por hijo que tratará, entre otras cosas.

Algo también muy importante es configurar eficientemente las opciones o controles que se indican en los ficheros de configuración, y que controlan las reglas que debe seguir el servidor web con cada petición.

Por último, habrá que tener en cuenta en la configuración el número de conexiones que permanecerán activas para una llamada HTTP, así como el envío de la respuesta de forma comprimida (de esto ya hemos hablado en otras ocasiones, hay que decidir entre CPU usada en el servidor o respuestas más rápidas).

Sobre PHP nos indican la necesidad de usar opcode cache, representación binaria del script PHP que puede ser ejecutada. Para ello existen varios cachés disponibles, aunque recomiendan el uso de eAccelerator.

El resto de las recomendaciones se refieren a la configuración del tiempo máximo de ejecución, el tiempo máximo de espera de la entrada, la memoria máxima utilizada y al tamaño del buffer.

Optimizing Apache and PHP

Vía / Good PHP Tutorials