Памятка администратору веб-сайтов ОИЯИ

1) Контакты.

По вопросам, связанных с размещением и доступностью веб-сайтов ОИЯИ следует в первую очередь консультироваться с системными администраторами своей лаборатории или с Сетевой Службой ОИЯИ NOC.

2) Размещение и доступность из внешних сетей.

Сайт должен размещаться на специализированных лабораторных серверах, или на хостинг-платформах ЛИТ. Не рекомендуется размещать служебные сайты на своих рабочих компьютерах или во внешней сети.
С марта 2022 года доступность веб-ресурсов ОИЯИ из внешних сетей ограничена - http и https доступ разрешен только для определенных серверов.
Если Вы не можете разместить свой сайт на этих серверах и хотите открыть прямой доступ http/https доступ на свой IP адрес из внешней сети - пишите письмо-обоснование в дирекцию своей лаборатории. Укажите IP адрес своего сайта и приведите обоснование для добавления адреса в разрешенный список. Ваш сайт будет проверен и открыт, если контент будет соответствовать тем. плану, а техническое состояние - требованиям безопасности.

3) Разработка сайта.

Все формы ввода данных рекомендуем для внешних сетей прикрыть капчей, см. https://ru.wikipedia.org/wiki/Капча
Все данные, поступающие из форм, должны проходить контроль на допустимый размер и значения. Используйте схему "разрешено перечисленное, остальное запрещено".
Старайтесь как можно меньше использовать ссылки на внешние движки, стили, аналитику, счетчики, геопозицинирование.
Если сайт посвящен какому-то разовому событию (конференция, школа), то по завершению события, рекомендуем убрать с сайта весь активный контент (скрипты), отключить формы, оставить на сайте только html / pdf контент.
Разделы, предназначенные для просмотра только из сети ОИЯИ, закрывайте списками доступа, по IP адресам 159.93.0.0/16. Также, можно использовать парольную авторизацию SSO (login.jinr.ru)

4) Сайты, разработанные сторонними организациями.

Некоторые подразделения заказывают "сайты под ключ" в сторонних организация. Главная ошибка в таких случаях - полное отсутствие последующей поддержки, так как чаще всего платят разово, только за разработку.
Размещая сайт в сети ОИЯИ, Вы ОБЯЗАНЫ обеспечить его поддержкой, т.е. назначить сотрудника, который будет отвечать за этот сайт все время его существования, обеспечивать работоспособность и безопасность.

5) Режим https (шифрованное соединение с использованием ssl-сертификата).

Рекомендуем использовать режим редиректа с http на https версию. Для реализации https режима лабораторным администраторам доступен ssl-сертификат *.jinr.ru. Также можно использовать систему Let's Encrypt ( https://letsencrypt.org/) для получения и авто-продления бесплатных трехмесячных сертификатов.

6) Поддержка.

У каждого сайта на протяжении всего цикла жизни должен быть ответственный администратор.
В случае отсутствия такого, невозможности с ним связаться или невыполнения рекомендаций администраторов лабораторий / NOC, доступ к сайту может быть приостановлен.
Администратор веб-ресурса ОБЯЗАН В ТЕЧЕНИИ ВСЕГО ВРЕМЕНИ СУЩЕСТВОВАНИЯ ресурса поддерживать в актуальном состоянии версии ПО, задействованного в работе ресурса, если это ПО в его зоне ответственности.
Пример - чаще всего уязвимости обнаруживаются в системах управления сайтами (CMS), СУБД и реализациях PHP. Необходимо своевременно обновлять такие пакеты как Joomla, Wordpress, MySQL, PHP.
Если Вы поддерживаете работу сайта, находясь во внешней сети - используйте VPN-соединение через сервис удаленного доступа https://noc.jinr.ru/ru/service/remote-access.php

7) Модерирование.

В случае размещения на сайте форумов или возможности комментирования постов администратор обязан обеспечивать модерирование контента, т.е. удалять все посты, которые не соответствуют научной деятельности ОИЯИ и законодательству РФ.
Также необходимо сохранять логи веб-сервера в минимально течении года.

8) Конфиденциальная информация (личные данные).

В случае сбора и хранения сайтом личных данных администратор обязан
- предупредить об этом пользователя
- собирать МИНИМАЛЬНО необходимый набор данных
- обеспечить безопасное хранение
- при завершении проекта обеспечить удаление данных

При обнаружении факта утечки информации сайт будет заблокирован, восстановление только после исправления уязвимостей и только по письму в дирекцию ЛИТ.

Напомним, что за несоблюдение правил хранения ЛД институт может быть оштрафован на крупные суммы.

9) Блокировка доступа к сайту. В случае нарушения перечисленных условий доступ к сайту может быть приостановлен.

- отсутствие поддержки сайта, ответственного лица
- наличие критичных уязвимостей
- игнорирование требований администраторов лабораторий или NOC'a
- несоответствие контента, несанкционированный сбор личных данных