Будем ставить опенсорсную программу учёта запасов — что проверить с точки зрения безопасности?

При установке ни в коем случае не давайте пользователю базы данных права 'root', создайте ограниченного пользователя, который имеет доступ только к базе этой программы. Включите на сервере файрвол (UFW) и заблокируйте все лишние входящие соединения кроме 80 и 443. И не забудьте про бесплатный SSL-сертификат.

Когда тянете код из репозитория, сделайте 4 проверки: 1) Звёзды и история подписчиков проекта органичные? 2) Есть ли в разделе security-уведомлений незакрытые дыры? 3) Под какой лицензией распространяется проект, есть ли ограничения на коммерческое использование? 4) Есть ли в коде скрытые скрипты, которые пингуют внешние серверы?

Мы 3 года используем опенсорсный ERP/модуль учёта запасов. Наш месячный расход на сервер — 320 TL, плюс 80 TL платим за внешнее зашифрованное хранилище для бэкапов. За год даже 5 000 TL не выходит. Но за установку и харденинг мы поначалу заплатили стороннему консультанту 15 000 TL, и оно того точно стоило.

А что вы будете делать, когда знакомый друг завтра-послезавтра устроится на другую работу или сервер упадёт? Опенсорсный софт бесплатный, но поддержка и обслуживание — нет. Если система зависнет в разгар выставления счетов, заплатите вы больше, чем стоят лицензии.

Не запускайте скачанную программу сразу в бой. Заведите несколько фейковых позиций из старых данных и тестируйте между филиалами минимум две недели. И персонал посмотрит и привыкнет к использованию, и вы проследите, копятся ли где-то в фоне неожиданные логи ошибок.

обязательно пропишите филиалам статический ip. если сделаете веб-панель, куда сможет зайти кто угодно снаружи, автоматические боты задолбают сервер попытками подобрать пароль, проверено на опыте.

А в таких опенсорсных проектах, когда приходит обновление, мы можем обновить одной кнопкой как приложение на телефоне или надо ставить заново с нуля?

Обязательно сделайте правилом: автоматический недельный имидж-бэкап сервера и ежедневный бэкап базы данных, который отправляется на отдельную почту или в облако.

Ответ выше точно передал суть вопроса. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Пишите, если есть вопросы, отвечу по мере возможности.

Редко встретишь текст с такой ясностью изложения.

Пишу это чтобы вы не совершили ту же ошибку. Ошибка, сделанная на стороне опенсорсная программа учёта запасов обычно исправима но дорого.

Отличная работа.

вы правы потом две недели ведения заметок дают лучий результат, чем шестимесячные прогнозы.

чем сложнее отменить решение, тем медленнее его принимайте.

Согласен.

Не знал об этом.

У нас было так. Не полагайтесь на одну меру защиты; действуйте слоями.

Без измерений мы всегда приходим к одному и тому же. Пишите, если есть вопросы, отвечу по мере возможности.

Прочитал этот ответ и выдохнул: значит, проблема не только у меня. Непроверенная резервная копия — не резервная копия.

Конечно если ваша ситуация отличается всё меняется.

Спасибо за ваш пост. Все, кто торопится с опенсорсная программа учёта запасов, спотыкаются на одном и том же.

Спешка в решениях оборачивается исправлениями через полгода. Оставлю как заметку, пригодится.