Безопасность

Безопасность системы комментариев Waline — наш главный приоритет. Здесь описаны вопросы безопасности Waline.

Безопасность комментариев

Защита от XSS-атак

Waline использует DOMPurify для фильтрации каждого введённого комментария на стороне сервера, чтобы предотвратить потенциальные XSS-атаки. Это означает, что использовать <iframe> или любые формы скриптов не получится.

Защита от отслеживания по ссылкам

Все ссылки автоматически получают rel="noreferrer noopener" и открываются в новом окне с target="_blank".

Предотвращение внедрения вредоносного содержимого

• Чтобы пользователи не могли создавать в области комментариев отправляемые формы и обманом заставлять других посетителей отправлять данные, использование <form> и <input> недоступно.

• Чтобы пользователи не могли с помощью стилей изменять страницы сайта или собственные стили комментария для размещения спам-рекламы, тег <style> и атрибут style у элементов недоступны.

• Чтобы пользователи не злоупотребляли автовоспроизведением медиа, использование атрибута autoplay недоступно.

Защита от подделки

Waline поддерживает систему аккаунтов, поэтому можно обязать пользователей регистрироваться и входить в аккаунт. Так посетители не смогут писать комментарии от имени других людей.

Чтобы включить эту функцию, необходимо включить обязательный вход как на клиенте, так и на сервере, подробнее см. login и LOGIN.

Безопасность сайта

Ограничение частоты

Чтобы предотвратить злоупотребления, Waline ограничивает комментарии по IP. По умолчанию один и тот же IP может отправить только один комментарий в минуту. Это ограничение можно изменить в разделе Справочник сервера → Переменные окружения.

Защита от флуда

При вводе комментария Waline проверяет существующие комментарии и, если обнаруживает комментарий с слишком высокой степенью сходства, отклоняет соответствующий комментарий. Это в определённой мере позволяет предотвратить флуд.

Модерация комментариев

Когда ваш сайт подвергается вредоносной атаке, в чувствительные периоды или когда вы заняты, можно включить функцию модерации комментариев. Подробнее см. Справочник сервера → Переменные окружения .

Когда модерация комментариев включена, все новые комментарии по умолчанию скрыты. Вы можете просматривать и модерировать комментарии в панели управления Waline или в области комментариев на соответствующей странице. Отображаются только одобренные вами комментарии.

Безопасность данных

Поскольку у Waline есть серверная часть, никто не может подменить данные комментариев или просмотры.

Кроме того, на стороне сервера можно задать переменные DISABLE_USERAGENT и DISABLE_REGION, чтобы другие не могли видеть UA и географическое местоположение авторов комментариев.