GLPI en producción sin hardening es un blanco fácil. Este checklist cubre los puntos críticos de seguridad que todo administrador debe verificar.
Checklist de seguridad
1. DocumentRoot en la carpeta public
El servidor web (Apache/Nginx) debe apuntar a /var/www/glpi/public, no a /var/www/glpi. Sin esto, los archivos internos quedan accesibles por URL.
2. Eliminar archivos de instalación
rm -f /var/www/glpi/install/install.php3. Cambiar contraseñas predeterminadas
Cambie de inmediato las contraseñas de: glpi, tech, normal, post-only. Considere desactivar las cuentas no utilizadas.
4. HTTPS obligatorio
Configure SSL/TLS y redirija HTTP a HTTPS. Use Let's Encrypt para certificados gratuitos.
5. Cabeceras de seguridad
Header set X-Content-Type-Options "nosniff"
Header set X-Frame-Options "SAMEORIGIN"
Header set X-XSS-Protection "1; mode=block"
Header set Strict-Transport-Security "max-age=31536000; includeSubDomains"
Header set Content-Security-Policy "default-src 'self'"6. Permisos de directorios
/var/www/glpi: lectura para www-data/var/lib/glpi: lectura+escritura para www-data/etc/glpi: lectura para www-data, sin acceso web/var/log/glpi: escritura para www-data, sin acceso web
7. Mantenerse actualizado
Aplique parches de seguridad en cuanto estén disponibles. Use el módulo CVE Scan para monitorizar vulnerabilidades.
8. Copia de seguridad y plan de DR
Consulte nuestra guía de copia de seguridad y disaster recovery.
9. Monitorización
Monitorice el GLPI con Zabbix o Grafana: disponibilidad, rendimiento, errores de autenticación (intentos de fuerza bruta).
10. Autenticación fuerte
Implemente SSO con Azure AD + MFA. Deshabilite el login local para los usuarios que usan SSO.
