Odoo 19 Community: Web RBL – Spärlëscht fir Ugraffsverkéier op den eegenen Webseiten

Quellcode: github.com/Alex0176/odoo-web-rbl — AGPL-3, fräi notzbar.

Wien en Odoo-Server um Internet bedreift, kritt Besuch. Net oft, mee ouni Ënnerbriechung. Iwwer siwwenzéng Deeg hu mir op eise fënnef Webseiten 731.297 Ufroen matgeschriwwen an ausgewäert. 110.511 dovun waren keng Besucher, mee automatiséiert Sich no Schwachstellen, Zougangsdaten a Konfiguratiounsdateien.

Dëse Bäitrag beschreift Web RBL, e Open-Source-Modul fir Odoo 19 Community, deen dëse Verkéier erkennt, bewäert, verbucht an ofweist — an deen d'Spärlëscht als RBL-Lëscht verëffentlecht, also an deem Format, dat Firewalls a Reverse Proxyen direkt liesen. All Zuelen stamen aus dem Echtbetrib.

Wat de Modul kann — d'Funktiounen am Iwwerbléck

Funktioun	Wat se mécht	Ausliwwerung
Mustererkennung	Erkennt Sondéierungen un Pfad an Endung: .env, .git, Konfiguratiounsdateien, Cloud-Schlësselen, CI/CD-Bauuweisungen, WordPress, PHP, Pfad-Traversal, Datebankverwalter, GraphQL, Befehlsausféierung iwwer /api/fs/exec an ähnlech Schnëttstellen	spären
Dräi Stufen pro Muster	spären, zielen oder mellen — pro Muster ëmstellbar, ouni Code	pro Muster
Schwellen	Esou vill Treffer vum selwechte Muster, ier gespaart gëtt; fir Umeldunge zéng	10 bei der Umeldung
Umeldeofwier	Gescheitert Umeldungen iwwer Maske an XML-RPC/JSON-RPC, gescheitert Sessiounspréifungen, Zougrëffer op de Datebankverwalter — an der Datebank, net am Aarbechtsspäicher	un
Bot-Erkennung bei der Umeldung	Wien d'Waardemeldung no zéng Fehlversich ignoréiert a weiderklappt, gëtt direkt gespaart	spären
Verhalenserkennung	Adressen, déi a fënnef Minutte zwanzeg Fehlsäiten an kaum eng Trefferséit generéieren — also roden amplaz liesen	mellen
Bewäertung 0–100	Wéi sécher ass et, dass hannert der Adress en Ugräifer steet? Aus Schwéier vum Muster, Zuel vu verschiddene Musteren, opfällegen Deeg, betraffene Domaine a Trefferzuel — mat Begrënnung am Klartext	un
Umeldespär no Bewäertung	Ab enger astellbarer Bewäertung ass d'Umeldung verbueden, d'Websäit bleift liesbar	ab 40
Verdacht op geklaute Zougangsdaten	Eng gelongen Umeldung vun enger opfälleger Adress gëtt gemellt a, wann gewënscht, als Aufgab zougewisen — eemol pro Adress an Dag	un
Bedrohungslëschten	Tor-Ausgangsknoten, Spamhaus DROP, FireHOL Level 1, blocklist.de virkonfiguréiert; all weider RBL-Lëscht ass pro Adress aschreiwbar, deeglechen Ofgläich, pro Lëscht eng eege Stuf	mellen
Kee Zougang zur Umeldung	Déi véiert Stuf fir Lëschten a Länner: Websäit liesbar, Umeldemask a Schnëttstelle zou — déi passend Äntwert op Tor	Optioun
Hierkunftsland	Land pro Treffer a Adress iwwer GeoLite2; d'Datebank hält de Modul mat engem gratis Lizenzschlëssel selwer um neisten Stand	uweisen
Länner-Reegelen	Spären, kee Zougang zur Umeldung, mellen oder ausdrécklech fräi — pro Land, bewosst ouni Virgab	keng
Fehlkonfiguratiounen	QNAP, Synology, Exchange-Autodiscover, ActiveSync, WebDAV/CalDAV/CardDAV ginn erkannt, ni gespaart a mat Befund a betraffener Domain an eng Aarbechtslëscht gestallt	mellen
Ticket pro Adress	Aus engem Befund gëtt, wann gewënscht, en Ticket — genau ee pro Adress, e zouenen Ticket gëtt erëm opgemaach amplaz verduebelt	aus
Pflichtsäiten a Sammler	De kanonesche Impressumspad bleift ëmmer erreechbar; maschinellt Duerchprobéiere vu frieme Schreifweisen gëtt erkannt a wann gewënscht gespaart	mellen
Fräilëscht	Adressen an Netzer, déi ni gespaart ginn; fëllt sech all Dag aus der Firewall (VPN-Géigenstellen) an aus de verëffentlechten Adressberäicher vu Googlebot a Bingbot	un
Clientenzouuerdnung	E Treffer aus dem Netz vun engem Client gëtt him zougeordnet — aus der Fräilëscht, ni vun Hand geroden	un
Domain a Kennung pro Treffer	Wéi eng Websäit gouf ugeschwat, mat wéi engem User-Agent — béides feelt am Zougrëffsprotokoll	un
Auswäertung	Diagramm a Pivot iwwer all Treffer: pro Muster, Dag, Domain, Land, Adress	un
Äz	Sonde kréie erfonnen Äntwerte mat Kanarienwäert; wien en méi spéit ofrifft, huet se gelies	aus
RBL-Ausliwwerung	D'Spär-Lëscht als reng Adresslëscht oder JSON ënner enger eegener, mat Token geschützter Adress — fir HAProxy, OPNsense an all Firewall, déi URL-Lëschte liest	un

Alles, wat mat mellen, aus oder Optioun ausgeliwwert gëtt, ass bewosst esou: Wien eng Spär scharf schalt, soll et maachen, well hien e puer Deeg nogekuckt huet, wien drop fält — net well d'Virgab et esou wollt.

D'Auswäertung: Treffer pro Muster iwwer siwen Deeg. De gréisste Balken ass d'Sich no .env-Dateien.

RBL-Lëschten: e standardiséierte Wee, Spären auszeliwweren

RBL steet fir Real-time Blackhole List. De Begrëff kënnt aus der Mailwelt, wou Spamhaus an aner zënter den Nonzigerjoren Lëschte vu béisaartegen Absenderadresse verëffentlechen. D'Prinzip ass denkbar einfach an dofir esou verbreet: eng Adress pro Zeil, iwwer HTTP ofruffbar, regelméisseg nei gelueden. Kee Format, dat een éischt muss parsen, keng Schnëttstell, fir déi een e Werkzeug brauch.

Praktesch all Firewall an all Reverse Proxy kann esou eng Lëscht aliesen an doraus Reegele bauen. D'Hiersteller nennen dat ënnerschiddlech, de Mechanismus ass iwwerall deeselwechten:

• OPNsense a pfSense — URL Table Alias: Adresslëscht iwwer HTTP lueden, als Alias a Firewall-Reegele benotzen, Aktualiséierung am Stonne- oder Deegesrhythmus
• HAProxy — ACL-Dateien an Maps: src -f sperrliste.txt an enger http-request deny-Regel, nolueden iwwer d'Runtime-API ouni Neistart
• nginx — geo-Modul mat agebonner Adressdatei, oder deny-Uweisungen aus enger generéierter include-Datei
• Fortinet FortiGate — External Block List bzw. Threat Feed: eng URL, aus där d'Firewall eng IP-Lëscht bezitt an a Richtlinne benotzt
• Palo Alto Networks — External Dynamic List (EDL): datselwecht Prinzip, als eegenen Objekttyp an de Sécherheetsrichtlinnen
• Check Point — Custom Intelligence Feeds an IP Block Lists iwwer eng URL
• Cisco Secure Firewall (Firepower) — Security Intelligence Feeds mat eegene Lëschtequellen
• Sophos Firewall — Third-Party Threat Feeds: Adresslëschte vun enger URL als Quell fir Blockreegelen
• Juniper SRX — Dynamic Address Entries aus Feeds
• MikroTik RouterOS — Address Lists, per Skript a fetch aus enger URL gefëllt
• CrowdSec — eege Lëschte als Quell fir d'Bouncer op all ënnerstëtzte System

Genau an dësem Format liwwert Web RBL seng Spär-Lëscht aus. D'Firewall verwerft d'Paketer, ier se de Webserver erreechen — an domat all aner Versuch vun der selwechter Adress, zum Beispill op de Mailserver oder de VPN-Gateway.

Béid Richtungen, mä déi richteg Plaz

De Wee funktionéiert och ëmgekéiert: A Web RBL léisst sech all beliebeg RBL-Lëscht aschreiwen — eng URL, eng Stuf, fäerdeg. Tor-Ausgangsknoten, Spamhaus DROP, FireHOL a blocklist.de sinn virkonfiguréiert, weider kommen mat dräi Klicken derbäi. De Modul zerleet all Lëscht a Adressberäicher a préift all Ufro dergéint, a wéinege Mikrosekonnen.

An awer: Méi sënnvoll ass et, främ Lëschten op der Firewall dervir ze benotzen. Aus dräi Grënn. D'Firewall gesäit all Servicer, net nëmmen HTTP — eng Adress vun der Spamhaus-Lëscht soll och um Mailserver an um VPN scheitern. Si verwerft um Paketniveau, ier iwwerhaapt eng Verbindung zoustane kënnt, a kascht den Applikatiounsserver doduerch näischt. An si ass d'Plaz, wou esou Lëschten souwisou gepflegt ginn; eng zweet Kopie an der Applikatioun ass eng zweet Plaz, déi kann veralen.

Wofir d'Lëschten am Modul dann nach gutt sinn: fir dat, wat eng Firewall net kann. Si kennt keng Umeldemask. Web RBL kann enger Adress vun der Tor-Lëscht de Zougang zur Umeldung verweigeren an d'Websäit trotzdem ausliwweren — wien anonym liese wëll, dierf dat; wien anonym Passwierder duerchprobéiere wëll, net. An et kann eng gelongen Umeldung vun enger gelëschter Adress als Verdachtsfall mellen. Béides brauch d'Lëscht do, wou d'Umeldung stattfënnt.

Bewäertung amplaz Bauchgefill

Eng Adress, déi eemol no /wp-login.php gefrot huet, ass eppes anescht wéi eng, déi un zwee Deeg mat fënnef verschiddene Mustere iwwer dräi Domainen gaangen ass. Web RBL rechent dat an eng Bewäertung vun 0 bis 100 em — aus deem, wat et selwer gesinn huet, ouni frieme Service an ouni Ufro no baussen.

Een Androung: 99 Treffer, Bewäertung 84, an d'Begrënnung am Klartext — schwéierste Muster, fënnef verschidde eescht Muster, zwee opfälleg Deeg, iwwer zwanzeg Treffer.

D'Bewäertung entscheet iwwer zwou Saachen. Ab engem astellbare Wäert ass d'Umeldung verbueden — d'Websäit bleift liesbar, mä wien scho no Zougangsdaten gesicht huet, kritt keng Gelegenheet, fonnen auszeprobéieren. An eng gelongen Umeldung vun enger Adress mat Bewäertung gëtt gemellt: Dann huet een net méi geroden, mä gewosst. Entweder war de berechtegte Benotzer ënnerwee, oder d'Zougangsdaten sinn verluer gaangen — de Modul entscheet dat net, et leet et engem vir, dee kann nofroen. D'Passwuert selwer gëtt dobäi nirgendwou beréiert.

D'Spär-Lëscht, gefiltert no Bewäertung ab 40: Zuel vun den Treffer, opfälleg Deeg, betraffe Domainen an de leschte Pad pro Adress.

Wat Web RBL schützt — d'Schutzwierkung am Detail

1. Zougangsdaten bleiwen onentdeckt

Déi gréisste gemoossen Ugrëffsklass sicht net no Lücken an Odoo, mä no leien gebliwwene Geheimnisser. Iwwer siwwenzéng Deeg:

• 57.721 Ufroen no .env-Dateien — do stinn Datebankpasswierder, API-Schlësselen a Sëtzungsgeheimnisser
• 5.535 Ufroen no Konfiguratiounsdateien
• 4.388 Ufroen no Cloud-Zougangsdaten: credentials.json, service-account.json, firebase-adminsdk.json, rclone.conf, .git-credentials
• 2.811 Ufroen no .git-Verzeechnisser — wien een fënnt, lued de kompletten Quellcode mat Historie erof
• 1.907 Ufroen no Build-Uweisungen wéi .github/workflows/deploy.yml oder .gitlab-ci.yml, an deenen Registries a Schlësselnimm stinn

Entscheedend ass dobäi net d'Zuel vun den Ufroen, mä d'Zuel vun de verschiddenen Adressen: /credentials.json koum vun 98 Adressen, /.git-credentials vun 92. Dat ass kee Single-Scanner, mä e Standardrepertoire, dat weltwäit gläichzäiteg leeft.

2. Umeldeversuche lafen an de Leeren — dauerhaft

Odoo bréngt eng eege Brems géint d'Duerchprobéiere vu Passwierder mat. Si huet dräi Grenzen, déi am Odoo-Quelltext selwer dokumentéiert sinn: De Compteur läit am Aarbechtsspäicher vum Aarbechtsprozess a gëtt bei all Neistart zréckgesat, hie verzögert nëmmen amplaz ze spären, an hie zielt ausschliesslech Versich, déi bis bei d'Passwuertpréifung duerchkommen.

Web RBL setzt un deene selwechte Stellen un, schreift awer an d'Datebank. Doduerch gëlt:

• De Stand iwwerlieft all Neistart a gëlt iwwer all Aarbechtsprozesser ewech
• Erfaasst ginn béid Weeër: d'Umeldemask /web/login an d'Schnëttstellen /xmlrpc/2/common an /jsonrpc
• Erfaasst ginn och Versich, déi ni bis bei d'Passwuertpréifung kommen — z. B. Umeldungen ouni gülteg Sëtzungsmierkmol
• E gescheiterten Zougrëff op de Datebankverwalter gëtt matgezielt; dat ass dee schwéierste Umeldeversuch iwwerhaapt

D'Schwell fir Umeldunge steet op zéng, an de Grond ass eng Moossung: Vun néng gescheiterten Umeldungen a siwwenzéng Deeg koum d'Méiheet vu Clienten, déi sech den Zougang selwer op engem weidere Gerät ageriicht hunn an doduerch déi falsch Domain aginn hunn — an engem Fall déi eegen, just mat Bindestrich amplaz Punkt. Eng Spär beim éischte Feelversuch hätt doduerch net Ugräifer getraff, mä Clienten bei der Arichtung.

Wien awer weider klappt, obwuel de Server schonn „w.e.g. kuerz waarden“ geäntwert huet, gëtt direkt gespaart. Dës Meldung liest e Mënsch a waart; wien se ignoréiert, ass e Programm. E eegent Muster mat Schwell null fänkt genau dëse Fall of, an et kann kee Kolleg treffen: Dohinner kënnt nëmmen, wien scho zéng Feelversich hannert sech huet an duerno weidermécht.

3. Den Ugrëff kascht de Server näischt méi

Eng Sond op e Pad wéi /@fs/../../.env war virum Modul deier: Odoo sicht d'Feelersäit, rendert se, stoluert beim Opbau vun der Adress iwwer d'Punkt-Segmenter a scheitert doropshin och un der Feelersäit vun der Feelersäit. Zwee Stack-Protokoller pro Sond. Gemoss goufen 28.401 esou Feeler a siwwenzéng Deeg, derzou 9.467 Folgefeeler.

Web RBL grëfft an ir.http._match an, also virun der Wegfindung. D'Äntwert fält ouni Virlag, ouni Datebankzougrëff iwwer d'Spärpréifung eraus an ouni Protokollzeil. D'Préifung géint Fräilëscht, Bedrohungslëschten a Länner-Reegele leeft aus dem Zwëschenspäicher iwwer sortéiert Adressberäicher — e puer Mikrosekonnen, och bei iwwer drësseg dausend Beräicher.

4. D'Firewall geheit den Ugräifer eraus, ier hien ukënnt

D'Spär-Lëscht gëtt als RBL-Lëscht verëffentlecht, déi HAProxy an OPNsense direkt liesen. Den Ugräifer erreecht de Webserver doduerch guer net méi — an och keen aneren Déngscht um selwechte Host. E Zougrëff, deen eemol als béisaarteg erkannt ass, schützt esou rückwierkend déi ganz Maschinn.

Dräi Stufen: spären, zielen, mellen

Net all Ufro an de Leeren ass en Ugrëff. Web RBL ënnerscheet dofir dräi Stufen, an d'Stuf léisst sech pro Muster ëmstellen, ouni de Code unzefaassen.

Stuf	Déi auslésend Ufro	Folleg fir d'Adress
spären	gëtt ofgewisen	24 Stonne gespaart, no dräi opfällegen Deeg dauerhaft
zielen	leeft duerch	nëmme verbucht, keng Spär
mellen	leeft duerch	verbucht mat Befundtext, gëtt ni gespaart

Fir Bedrohungslëschten a Länner gëtt et eng véiert: kee Zougang zur Umeldung. D'Websäit bleift liesbar, Umeldemask a Schnëttstelle si zou. Dat ass de Mëttelwee fir alles, wat verdächteg ass, awer net béisaarteg muss sinn — Tor, e Rechenzenterberäich, e Land ouni Clienten.

Wéi eng Ugrëffer erkannt ginn

All Muster si géint richtege Verkéier gepréift. D'Zuel vun de verschiddenen Adresse steet bewosst derniewent — si weist, ob e Muster een eenzele Scanner trëfft oder eng verbreet Virgoensweis.

Ugrëffsklass	Ufroen	Adressen
.env-Ofgrëff	57.721	223
PHP-Sonden	12.237	256
Pfad-Traversal mat lounendem Zil	10.046	64
Konfiguratiounsdateien	5.535	114
Cloud-Zougangsschlësselen	4.388	152
WordPress-Sonden	3.366	385
.git-Ofgrëff	2.811	255
Odoo-Erkundung (Datebankverwalter, Versiounsufro)	2.500	213
KI-Werkzeugketten a Befehlsausféierung (/mcp, /api/fs/exec)	2.450	74
Build-Uweisungen (CI/CD)	1.907	88
GraphQL-Endpunkten	1.878	71

Bemierkenswäert ass déi jéngst Klass. /api/fs/exec gouf 369 Mol vun 54 verschiddenen Adresse gefrot — dat ass kee Liesezougrëff, mä de Versuch, Befeler auszeféieren. Esou Ziler gouf et viru zwee Joer net; si stamen aus Schnëttstellen vun neie KI-Werkzeugen an Aufgabewarteschlaangen. Wien seng Ofwier just op WordPress a PHP ausriicht, gesäit dovunner näischt. An der Bewäertung weit dës Klass dofir schwéier.

Bedrohungslëschten an Hierkunftsland

Véier Lëschten, 32.851 Adressberäicher, all op „nëmme mellen“. All weider Lëscht ass eng Adress an eng Stuf.

Eng främ Lëscht ass eng Behaaptung, déi een aneren opstellt, aus Grënn, déi mir net kennen, iwwer Verkéier, deen eis ni gesinn hu. Si kann falsch sinn, veraltet oder fir en anere Zweck geduecht: blocklist.de sammelt virun allem Adressen, déi anzwousch aneschters SSH-Umeldunge duerchprobéiert hunn, an dat seet iwwer e Webserver wéineg. Dofir féiert Web RBL främ Lëschten getrennt vun der eegener Spär-Lëscht, an dofir ass d'Virgab mellen. An déi eege Fräilëscht gewënnt ëmmer: E Client, dee mir kennen, weit méi schwéier wéi d'Aschätzung vun engem Drëtten.

D'Hierkunftsland steet bei all Treffer a bei all Adress. Fir ze beuerteelen ass et onersetzlech — e Umeldeversuch aus dem eegene Land um zéng Auer moies ass eppes anescht wéi ee vun engem Land ouni ee eenzege Client. Fir pauschal auszespären ass et wéineg gëeegent, an dat soen déi eege Zuelen: D'Ugräifer an eiser Lëscht koumen iwwerwiegend aus Cloud-Beräicher a Belsch, Finnland an den Nidderlanden. Eng Spär fir alles ausserhalb vum däitschsproochege Raum hätt se net getraff — dofir awer eege Mataarbechter am Congé a Clienten op Geschäftsrees.

Länner-Reegele ginn eidel ausgeliwwert, an d'Usiicht seet, warum.

Fehlkonfiguratiounen mellen amplaz spären

Dee heefegste Fall am Echtverkéier ass weder Ugrëff nach Besucher, mä defekt Software, déi de Webserver fir eppes anescht hält:

• 1.367 Opruffer vun der Web-Schnëttstell vun engem QNAP-NAS — e Sync-Client, deem säin Zil net méi stëmmt. Een eenzegen Uschloss huet 962 Mol geklappt.
• 65 Autodiscover-Ufroen — en Outlook, dat d'Webdomain fir säin Exchange hält

Esou Adresse ginn ni gespaart. Eng Spär behebt den Defekt net, si verstoppt en — an trëfft deen, dem säi Gerät souwisou schonn falsch agestallt ass. Amplaz entsteet en Androung mat Befundtext an de betraffenen Domainen, aus deem wann gewënscht automatesch en Ticket gëtt: pro Adress genau een, a gëtt en zougemaach an d'Adress fält erëm op, mécht sech datselwecht Ticket erëm op, amplaz datt en zweeten entsteet.

Erkannt ginn QNAP, Synology, Exchange-Autodiscover, ActiveSync souwéi WebDAV-, CalDAV- a CardDAV-Clienten. D'Muster nennen dobäi exakt Dateinimm a Verzeechnisser, ni bloss Endungen: Am selwechte Verzeechnes /cgi-bin/ leien déi harmlos Sync-Opruffer direkt niewent klassesche Sonden wéi printenv.pl.

D'Fräilëscht: Adressen, déi ni gespaart ginn

De Präis vun engem Irrtum ass net bei all Adress d'selwecht. Bei engem Scanner aus engem Rechenzenter kascht e Fehlalarm näischt. Bei der Géigenstell vun engem Standuertunnel kascht en de Standuert.

Dofir gëtt et eng zweet Lëscht, déi virun der éischter steet: Adressen an Netzer, déi ni gespaart ginn. Si schalt dobäi näischt stëmm — wien drop steet, gëtt weider gepréift a verbucht, just d'Folleg entfält. Dat ass den Ënnerscheed zu enger Ausnam an der Firewall: Déi mécht blann, dës mécht just gedëlleg.

Gefëllt gëtt si all Dag aus zwou Quellen: aus der Firewall selwer mat alle VPN-Géigenstellen, fir datt en nei ageriichten Tunnel net dovun ofhänkt, datt een un d'Spär-Lëscht denkt — an aus de verëffentlechten Adressberäicher vu Google a Microsoft fir hir Crawler. Nëmmen esou léisst sech e richtege Googlebot vun engem Scanner ënnerscheeden, dee sech esou nennt. Sichmaschinne dierfen ni gespaart ginn; wien se ausspaart, hëlt seng Säit ouni Wee aus der Indexéierung zréck.

Dobäi gëllt eng Regel, déi méi wichteg ass wéi den Ofgläich: Eng eidel Äntwert läscht ni. Äntwert d'Quell net, eidel oder onverständlech, bleift d'Lëscht onverännert. Eng Fräilëscht, déi sech bei enger Stéierung selwer eidel mécht, hëlt am schlëmmste méigleche Moment all Tunnelen mat.

Dréit en Androung vun der Fräilëscht e Client, gëtt all Treffer aus sengem Netz him zougeordnet. Eng Fehlkonfiguratioun huet doduerch direkt en Usprechpartner, ouni datt een Adresse muss nokucken.

Pflichtangaben an automatiséiert Datesammler

D'Impressum ass keng gewéinlech Säit. Et muss fir Mënschen erreechbar bleiwen, well eng Spär doropper genau de Verstouss schaaft, dee e Sammler sicht. Gläichzäiteg ass et d'Säit, op där Numm an Adress stinn — an domat d'Zil vu maschineller Ernte.

Bei der éisträichescher Ofmahnwell wéinst agebonne Google-Schrëften hunn d'Protokoller gewisen, datt d'Schreiwen net aus Einzelbesich stamen, mä aus engem automatiséierte Rundumschlag: verschidden, net zesummenhängend Hosten am Ofstand vu Millisekonnen.

Web RBL léist dat duerch Erofstufung amplaz Ausnam. De kanonesche Pad /impressum trëfft op guer kee Muster a bleift ëmmer erreechbar. Främ Schreifweisen wéi /impressum.php — déi et op enger Odoo-Säit net ka ginn — ginn gemellt, a wien déi maschinell Ernte net hiele wëll, stellt e Parameter ëm. sitemap a robots si dovunner ausgeholl a grondsätzlech net spärbar: Si enthalen keng perséinlech Angab, a si ofzeruffen ass d'Aufgab vun all Sichmaschinne-Crawler.

Domain a Kennung: wat am Zougrëffsprotokoll feelt

D'Zougrëffsprotokoll vu werkzeug schreift weder den ugeschwate Host nach d'Kennung vum Opruffer mat. Odoo kritt béides selbstverständlech — ouni de Host kënnt et bei méi Websäite guer net déi richteg auswielen. Nolieses kann een et duerno awer net.

Web RBL hält béides pro Treffer fest. Dat beäntwert zwou Froen, déi sech soss net beäntwere loossen: wéi eng Websäit eng Fehlkonfiguratioun uspréicht — an domat, wéi engem Client d'Domain gehéiert — an ob eng Adress eng Säit besicht oder all. Méi net zesummenhängend Domainen vun der selwechter Adress sinn d'Kennzeechen vum Rundumschlag, a si erhéijen d'Bewäertung.

Wéi vill d'Kennung ausmécht, huet eng Auswäertung op enger vun eise Websäite gewisen: Iwwer siwwenzeg Prozent vum ganze Verkéier sinn do op een eenzege Opruffer entfall, verdeelt iwwer méi wéi honnert Adressen. Ouni d'Kennung hätt dat ausgesinn wéi en verdeelte Scraper. Et war GPTBot, de Crawler vun OpenAI — hie frét ëmmer erëm no robots.txt a huet sech voll korrekt verhalen.

D'Sécherheetsaspekter am Detail

1. D'Proxy-Erkennung — déi geféierlechst Plaz iwwerhaapt

Leeft Odoo hannert engem Reverse Proxy an ass proxy_mode falsch gesat, gesäit de Modul bei all Ufro déiselwecht Adress: déi vum Proxy. Eng Spär géif dann all Besucher gläichzäiteg ausspären.

Dofir préift Web RBL virun all Spär, ob d'Adressbestëmmung zouverlässeg ass. Et verlaangt proxy_mode zesumme mat enger Weiderleedungs-Kopfzeil, verweigert d'Aarbecht, wann eng Weiderleedung ouni proxy_mode ukënnt, a verweigert se och bei méi wéi engem Zwëschenproxy. Am Zweiffelsfall gëtt net gespaart.

2. Eegen Netzer ni

Privat Adressberäicher, Loopback, Link-Local a CGNAT si fest ausgeholl. Si kënnen ënner kenge Ëmstänn op der Lëscht landen, och net vun Hand. Dat selwecht gëllt fir främ Lëschten: Privat a reservéiert Beräicher souwéi absurd grouss Netzer ginn beim Aliesen verworf.

3. En eegene Feeler däerf d'Websäit net matholen

Déi ganz Préifung leeft an enger Absécherung, déi all Feeler offänkt. Wat hei schifgeet, gëtt protokolléiert, an d'Ufro leeft onverännert weider. E Schutzmodul, dee bei engem eegene Feeler d'Websäit matholt, ass schlëmmer wéi guer keen. All Ufroen am Ufrowee lafen ausserdeem ouni d'Browsersprooch vum Besucher an ouni Sortéierung no iwwersaten Felder — e Besucher mat enger net installéierter Sprooch däerf d'Préifung net zum Scheitere bréngen.

4. Observéieren ier gespaart gëtt

Nom Installéieren ass d'Spären vu gelëschten Adressen bei gewéinlechen Ufroen ausgeschalt. Sonde ginn ofgewisen a verbucht, alles anescht leeft duerch. Esou léisst sech e puer Deeg matliesen, wien tatsächlech op der Lëscht landet, ier een ausgespaart gëtt. Dat selwecht gëllt fir Verhalenserkennung, Bedrohungslëschten a Länner-Reegelen: éischt mellen, spären no Usinn.

5. Enk Muster amplaz breet Netzer

E falsch erkannte Besucher ass méi deier wéi eng iwwersinn Sond. All Muster dréit dofir seng Stuf, an si ass pro Muster ëmstellbar. Eng Dateiendung eleng geneegt selten: Bei .php stinn 14.012 echt Sonden géint eng Handvoll Altlinken, bei .asp ass d'Verhältnis ëmgekéiert. Esou Entscheedunge gehéiere gemoss, net geschat.

6. Eng Fräigab vun Hand bleift bestoen

Wien eng Adress fräigëtt, hat e Grond. E weideren Treffer setzt dës Entscheedung net roueg ausser Kraaft.

7. D'Lëscht ass geschützt, awer kee Geheimnis

Den Endpunkt verlaangt en Token an äntwert ouni gülteg Token mat 404, net mat 403 — d'Existenz vun der Adress gëtt doduerch guer net eréischt bestätegt. De Vergläich leeft zäitkonstant. D'Lëscht selwer enthält näischt Vertraulechs: Si besteet aus Adressen, déi vu sech aus bei eis ugeklappt hunn.

8. Keng Geheimnisser an der Buchféierung

Bei gescheiterten Umeldunge gëtt de versichte Benotzernumm vermerkt, ni d'Passwuert. Beim Datebankverwalter gëtt aus de iwwerginne Wäerter guer näischt gelies: Do steet un éischter Stell d'Haaptpasswuert, an en Androung an enger Spär-Lëscht wandert an all Datebanksécherung. De Lizenzschlëssel fir GeoLite2 steet just am Systemparameter an an enger kenger Protokollzeil.

9. De Köder verréit näischt Verwertbaret

Optional beäntwert Web RBL Sonden mat erfonnem Inhalt, deen e kloere Kanarienwäert enthält. Wien dëse Wäert méi spéit ofrifft, huet déi gefälschten Äntwert gelies an doropshin gehandelt — e Fehlalarm ass dobäi ausgeschloss. D'Äz enthalen keng verwertbar Angaben, keng richteg Pied a keng gülteg Zougangsdaten. Ausgeliwwert gëtt dës Funktioun ausgeschalt, well se d'Verhalen no baussen siichtbar ännert.

Wat de Modul net kann

Et ersetzt keng Firewall a keng Web Application Firewall. Et erkennt bekannte Sondéierungsmuster a Pied, gescheitert Umeldungen an opfällegt Verhalen — net Ugrëffer op Formulairen, net Aschleusungsversich a Parameteren.

Et gesäit ausserdeem nëmmen, wat iwwer HTTP zréckkënnt. Wat en Ugräifer mat erbeute Datebank- oder Postfachzougäng ufänkt, bleift onsiichtbar — an genau dofir sinn d'Kanarienwäerter Pied a keng Zougangsdaten.

An et ersetzt keng Suergfalt: E Modul, dat .env-Sonden ofweist, mécht eng versehentlech ausgeliwwert .env-Datei net ongeféierlech.

Disponibilitéit

Web RBL steet ënner der AGPL-3 ëffentlech zur Verfügung a leeft bei eis produktiv op fënnef Websäiten:

github.com/Alex0176/odoo-web-rbl

De Modul setzt Odoo 19 Community viraus a huet keng Ofhängegkeeten ausser base an web. D'Ticketubannung ass optional a brauch kee bestëmmten Ticketsystem; ouni e sou ee geschitt einfach näischt. D'Hierkunftsland brauch déi gratis GeoLite2-Datebank vu MaxMind; feelt si, bleift d'Feld eidel an alles anescht schafft onverännert.

Weiderféierend: Wéi Web RBL an eng komplett Sécherheetsarchitektur passt -- zesumme mat Firewall, Zwee-Faktor-Authentifizéierung a Berechtegungen, inklusiv Schrëtt-fir-Schrëtt-Uleedung: Odoo 19 Sécherheetsarchitektur richteg kombinéieren.

Froen, Bemierkungen a Feelerberichter huele mir gär entgéint — am léifsten als Issue op GitHub.