Si no se requiere ningún servidor web en el ordenador, se recomienda desactivar Apache en el editor de niveles de ejecución o no instalarlo siquiera (o bien desinstalarlo). Un servidor menos en el ordenador es un punto vulnerable menos para posibles ataques. Esto tiene validez sobre todo para los ordenadores con función de cortafuegos, en los que si es posible nunca debería ejecutarse ningún servidor.
Por defecto, los directorios DocumentRoot (/srv/www/htdocs) y CGI pertenecen al usuario
root y se recomienda no
modificar esta configuración. Si todos tuviesen permiso de escritura sobre
estos directorios, cualquier usuario sería capaz de guardar archivos en
ellos. Estos archivos son ejecutados por Apache
como usuario wwwrun.
Apache no debería tener permisos de escritura
sobre los datos y scripts que entrega, por lo que estos no han de
pertenecer al usuario wwwrun,
sino por ejemplo a root.
Si se desea que los usuarios puedan guardar archivos en el directorio de
documentos de Apache, se recomienda crear un
subdirectorio en el que cualquiera pueda escribir, por ejemplo
/srv/www/htdocs/miscellaneous.
Cuando los usuarios desean publicar en la red sus propios archivos es
posible definir en el archivo de configuración un directorio en el directorio
local de un usuario en el que este guarde sus archivos para la red (por ejemplo
~/public_html). Esta posibilidad, activada por defecto en
SUSE LINUX, se explica con más detalle en la Sección 30.6.2.16, “UserDir”.
Puede acceder a estas páginas web introduciendo el usuario en la URL: la
URL contiene la expresión
~nombre_usuario
como abreviatura del directorio correspondiente en el directorio local del
usuario. Por ejemplo, al introducir en un navegador la URL http://localhost/~tux se muestran los archivos del directorio
public_html situado en el directorio local del
tux.
Quien administre un servidor web (sobre todo si dicho servidor está disponible públicamente), debe estar siempre informado y al día en lo que se refiere a fallos y posibles puntos vulnerables derivados de estos.
En la Sección 30.12.3, “Seguridad” se incluyen algunas fuentes de información sobre exploits y correcciones.