Aplikacja treningowa na iOS i Android dopasowująca się do postępów użytkownika
Klient: Fit Paradise
Branża: Fitness / FitTech
Bezpieczeństwo w Apache HTTP Server
Apache HTTP Server to jedno z najpopularniejszych oprogramowań serwerowych. W artykule omówię jak zapewnić bezpieczeństwo przy użyciu różnych mechanizmów, takich jak SSL, autoryzacja użytkowników i listy kontrolne dostępu.
CEO
01 cze 2023
Bezpieczeństwo serwera Apache HTTP jest fundamentem stabilnego i niezawodnego działania usług webowych. W dobie coraz częstszych ataków cybernetycznych, administratorzy muszą podejmować szereg działań mających na celu ochronę danych, infrastruktury oraz dostępności usług. Poniżej przedstawiono kluczowe aspekty konfiguracji i zabezpieczenia serwera Apache – od ustawień początkowych, przez ochronę przed atakami DDoS, po zarządzanie certyfikatami SSL/TLS, kontrolę dostępu oraz mechanizmy logowania i audytu.
Powiązane case study
Konfiguracja początkowa
Aby zabezpieczyć serwer Apache przed potencjalnymi atakami, należy przeprowadzić odpowiednią konfigurację początkową. Najpierw należy upewnić się, że wersja Apache jest aktualna i zawiera poprawki bezpieczeństwa. Następnie zaleca się wyłączenie dostępu do plików konfiguracyjnych z poziomu przeglądarki oraz zmianę domyślnego hasła dla dostępu do panelu administracyjnego serwera. Ważnym krokiem jest także stworzenie oddzielnej grupy użytkowników, którzy mają dostęp do plików serwera oraz odpowiednie ustawienie uprawnień dostępu do plików i katalogów. Warto także skonfigurować dodatkowe filtry bezpieczeństwa i mechanizmy blokowania ataków DDoS.
Powiązane usługi
Ochrona przed atakami DDoS
DDoS to jedno z najczęstszych zagrożeń dla serwerów www. Aby ograniczyć skutki takich ataków:
- mod_security: Włącz ten moduł i skonfiguruj OWASP Core Rule Set (CRS) do filtrowania niebezpiecznych żądań.
- mod_evasive: Blokuje adresy IP, które wysyłają zbyt wiele zapytań w krótkim czasie.
- Fail2Ban: Analizuje logi Apache i dynamicznie blokuje IP z nadmierną aktywnością.
- Reverse proxy (np. Cloudflare): Użycie zewnętrznego serwera proxy pozwala odciążyć serwer i zapewnić ochronę przed masowymi zapytaniami.
Zarządzanie certyfikatami SSL/TLS
Jeśli chcemy wdrożyć szyfrowanie SSL/TLS, musimy najpierw załatwić certyfikat SSL od organizacji, która jest autoryzowana do ich wydawania, jak np. Let's Encrypt, czy Comodo. Po uzyskaniu certyfikatu, musimy zainstalować go w serwerze Apache, co zwykle wymaga dodania odpowiednich linii do pliku konfiguracyjnego HTTPD. Po tym etapie możemy już cieszyć się bezpiecznym połączeniem między klientami a naszym serwerem.
Kontrola dostępu do zasobów serwera
Kontrola dostępu do zasobów serwera to kluczowy element w zapewnieniu bezpieczeństwa w Apache HTTP Server. Istnieją różne sposoby na realizację tej funkcjonalności, w tym wykorzystanie modułów dostępnych w standardowej dystrybucji serwera. Jednym z nich jest moduł mod_authz_core, który umożliwia definiowanie uprawnień dostępu na poziomie pliku, katalogu czy lokalizacji URL. Innym jest mod_rewrite, który pozwala na przekierowanie żądań HTTP na podstawie ustalonych reguł, umożliwiając wymuszenie uwierzytelnienia użytkownika przed dostępem do chronionych zasobów. Niezależnie od wybranej metody, ważne jest, aby kontrola dostępu do zasobów serwera została wdrożona zgodnie z najlepszymi praktykami i bieżącymi wymaganiami bezpieczeństwa.
Logger i audytowanie
Logger i audytowanie to ważne funkcjonalności w Apache HTTP Server, umożliwiające śledzenie i zapisywanie wydarzeń systemowych. Logger umożliwia przedstawienie informacji na temat żądań klienta, otrzymanych odpowiedzi oraz błędów, a audytowanie pozwala na śledzenie aktywności użytkowników oraz zabezpieczeń serwera. Dzięki tym narzędziom możemy szybko wychwycić ewentualne problemy i zidentyfikować zagrożenia dla bezpieczeństwa systemu.
FAQ
FAQ – bezpieczeństwo Apache HTTP Server
Apache HTTP Server (popularnie Apache) to klasyczny, otwarty serwer HTTP. Powstał w 1995 roku, dziś jest jednym z najpopularniejszych serwerów WWW — historycznie obsługiwał większość internetu (przed Nginxem). W 2026 około 30 procent stron działa na Apache (głównie WordPress, klasyczne aplikacje PHP). Konkurencja — Nginx (lider w nowych instalacjach, lepszy dla high-traffic, reverse proxy), LiteSpeed (komercyjny, optymalizowany dla WordPressa), Caddy (nowoczesny, automatyczny HTTPS). Apache pozostaje używany w klasycznych hostingach LAMP.
Lista kontrolna zagrożeń:
- HTTPS obowiązkowo — HTTP bez szyfrowania jest dziś niedopuszczalny: przeglądarki oznaczają „Niezabezpieczona", SEO karze,
- nagłówki bezpieczeństwa — HSTS, CSP, X-Frame-Options, X-Content-Type-Options; bez nich strona jest otwarta na XSS i clickjacking,
- mod_security — firewall aplikacyjny blokujący SQL injection i XSS,
- directory listing — wyłączony (Options -Indexes),
- ukrycie informacji o serwerze — ServerSignature Off, ServerTokens Prod,
- blokada dostępu do plików wrażliwych — .htaccess, .git, .env.
HTTPS krok po kroku:
- Let's Encrypt — darmowe certyfikaty TLS; certbot --apache automatyzuje konfigurację,
- wymuszenie HTTPS — przekierowanie z HTTP w konfiguracji Apache,
- HSTS — Strict-Transport-Security z rocznym max-age, includeSubDomains i preload,
- wersje protokołu — minimum TLS 1.2, preferowany 1.3; starsze wyłączone, bo mają znane podatności,
- silne zestawy szyfrów — Mozilla SSL Configuration Generator podaje rekomendowane,
- automatyczne odnawianie — certbot renew w cronie.
Apache mod_security to Web Application Firewall (WAF) — moduł blokujący znane ataki — SQL injection, XSS, path traversal, command injection. Używa reguł OWASP Core Rule Set (CRS) — biblioteka kilkuset reguł identyfikujących wzorce ataków. Plus możesz pisać własne reguły dla specyficznych potrzeb. Instalacja — apt-get install libapache2-mod-security2 plus włączenie CRS. Konfiguracja w trybie audit (loguj, ale nie blokuj) na początku — tygodnie monitorowania, dopiero potem tryb enforce. mod_security to obowiązkowa praktyka dla każdego production Apache.
Komplet nagłówków:
- Strict-Transport-Security — wymusza HTTPS,
- Content-Security-Policy — ogranicza źródła skryptów, tarcza przeciw XSS,
- X-Frame-Options: SAMEORIGIN — ochrona przed clickjackingiem,
- X-Content-Type-Options: nosniff — blokada zgadywania typów MIME,
- Referrer-Policy: strict-origin-when-cross-origin — ochrona prywatności,
- Permissions-Policy — kontrola dostępu strony do funkcji przeglądarki (kamera, geolokalizacja).
Szybka weryfikacja: securityheaders.com — dobrze skonfigurowana strona dostaje tam ocenę A+.
Blog
Powiązane artykuły
IT administrator
Trivy - Główne funkcje i praktyczne zastosowania
Trivy to otwartoźródłowy skaner bezpieczeństwa, który pomaga w identyfikacji podatności w projektach opartych na kodzie źródłowym. Zapewnia szybkość, skuteczność i elastyczność potrzebne do prowadzenia skutecznej analizy bezpieczeństwa. To przewodnik ma na celu przybliżenie głównych funkcji i praktycznych zastosowań Trivy, a także osiągnięcie surowego zrozumienia, jak nim skutecznie zarządzać.
Tomasz Kozon
18 maj 2024
IT administrator
Claude Mythos: nowy poziom możliwości AI od Anthropic
Anthropic zaprezentowało model Claude Mythos Preview, który wyznacza zupełnie nowy kierunek rozwoju sztucznej inteligencji. Nie jest to kolejna iteracja znanych rozwiązań, lecz system o możliwościach wykraczających poza dotychczasowe standardy, szczególnie w obszarze analizy oprogramowania i cyberbezpieczeństwa. Jego zdolność do autonomicznego wykrywania podatności typu zero-day sprawiła, że firma zdecydowała się na wyjątkowo ograniczoną dystrybucję w ramach Project Glasswing.
Tomasz Kozon
14 kwi 2026
IT administrator
Technologia w aparthotelach - jakie systemy wspierają zarządzanie?
Aparthotele łączą standard hotelu z elastycznością najmu, dlatego ich codzienne zarządzanie wygląda inaczej niż w tradycyjnych obiektach. Goście oczekują szybkiej, bezobsługowej obsługi - od rezerwacji i płatności po self check-in i dostęp do apartamentu - a operatorzy muszą jednocześnie kontrolować sprzątanie, serwis i dostępność w wielu kanałach sprzedaży. Bez dobrze dobranych systemów rośnie liczba ręcznych działań, błędów i kosztów, co szczególnie boli przy skalowaniu.
Tomasz Kozon
03 mar 2026
IT administrator
Jak działa Hotel Management Software? Funkcje, które naprawdę się liczą
Nowoczesne hotele coraz częściej opierają swoją codzienną działalność na technologii, która usprawnia pracę i podnosi jakość obsługi gości. Hotel Management Software to jedno z kluczowych narzędzi, bez którego trudno dziś skutecznie zarządzać obiektem noclegowym. System ten integruje najważniejsze procesy hotelowe w jednym miejscu, zapewniając pełną kontrolę nad rezerwacjami, sprzedażą i obsługą gości.
Tomasz Kozon
23 lut 2026
IT administrator
Channel Manager jako kluczowe narzędzie nowoczesnego hotelu
Współczesne hotelarstwo opiera się na sprzedaży online i skutecznym zarządzaniu wieloma kanałami dystrybucji jednocześnie. Rosnące oczekiwania gości oraz dynamiczne zmiany rynku sprawiają, że ręczne zarządzanie rezerwacjami staje się nieefektywne i ryzykowne. Właśnie dlatego Channel Manager stał się jednym z kluczowych narzędzi nowoczesnego hotelu.
Tomasz Kozon
23 gru 2025
IT administrator
Snyk – co to jest i jak pomaga w zabezpieczaniu aplikacji?
Bezpieczeństwo aplikacji stało się jednym z kluczowych wyzwań współczesnych zespołów developerskich, zwłaszcza w dobie rosnącej liczby zależności open-source i złożonych środowisk chmurowych. Coraz częściej to właśnie błędy w bibliotekach, konfiguracji lub kodzie własnym prowadzą do poważnych incydentów. Snyk to platforma stworzona, aby pomóc programistom i zespołom DevOps w szybkim wykrywaniu oraz naprawianiu takich podatności już na wczesnym etapie tworzenia aplikacji.
Tomasz Kozon
16 lis 2025