Buenas tardes comunidad OJS.
Hemos estado investigando sobre aspectos de seguridad en OJS. Me gustaría saber si existe alguna opción de seguridad, que me permita restringir el acceso al Panel de control (Administración de OJS), por medio de bloqueos de IP. Es decir, Permitir que el acceso al login de administrador, lo tengan solo cietas direcciones IP y para el resto esté bloqueado.
De igual manera, les agradecería mucho si me comparten aspectos de seguridad que me puedan a yudar a brindar un mayor nivel de seguridad al servidor OJS.
Hola Angela,
No estoy seguro que se pueda restringir por completo, quizás con algunas reglas, porque el panel de control lo utilizan todos los roles que tienen alguna cuenta en la revista, esto incluye editores, revisores,etc.
Quizás alguien de la comunidad pueda darte información.
Para seguridad, hay una guía muy completa en https://docs.pkp.sfu.ca/admin-guide/en/securing-your-system
saludos!
Hola @alopezt74,
esto lo pueden realizar desde el servidor web (Apache, nginx), permitiendo el acceso sólo a las IPs que deseen. Por ejemplo, con Apache web server, la documentación incial sería esta: https://httpd.apache.org/docs/2.4/howto/access.html
aspectos de seguridad que me puedan a yudar a brindar un mayor nivel de seguridad al servidor OJS.
Para esto, hay una guía general de seguridad de PKP: https://docs.pkp.sfu.ca/admin-guide/en/securing-your-system
Esto debería ser complementado con buenas prácticas generales en la administración del servidor, lo cual está relacionado al entorno que manejen. En líneas generales serían las medidas de seguridad del sistema operativo y los requerimientos de software (base de datos, servidor web, PHP, reglas en la red)
La respuesta es general porque, más allá de la guía de PKP compartida más arriba, son aspectos más relacionados al rol de sysadmin y
- dependen del entorno y software base específico que estén utilizando
- las medidas de seguridad son en cierto modo integrales a todo este entorno
Edit: mientras escribía @dagosalas fue más rápido jaja. Concuerdo en la complejidad de la restricción por los distintos roles participantes. Si hacen uso completo del flujo de trabajo editorial, tendrían que ver qué secciones sólo utilizan desde el comité (locations dentro de la url, por ejemplo stats, manageIssues, etc) para que matchee el servidor web y cierre. Y quizás solo dejar abierto workflow y alguno más. Van a tener que testearlo bien porque pueden dejar usuarios fuera.
1 Like