Guía técnica para la elaboración de sitios web PUCP

Transcripción

1 Guía técnica para la elabración de sitis web PUCP versión 2014

2 DIRECCIÓN DE COMUNICACIÓN INSTITUCIONAL Intrducción El siguiente dcument es una guía técnica dirigida a diseñadres y prgramadres que actualmente se encuentren elabrand un siti web de la Universidad. Esta guía, se pne a dispsición cn el bjetiv de mejrar la accesibilidad y seguridad de la infrmación publicad en td siti web que sea publicad en ls servidres de la Universidad. Le agradecerems leer cn atención este dcument y seguir las indicacines cuidadsamente. Así estará aprtand a mejrar ls servicis de cmunicación de la Universidad. Si tuviera alguna cnsulta acerca de la actualización de este dcument algún cmentari al respect, escríbans a través del Prtal de Cmunicación Institucinal llámens al anex 3911.

3 1. Qué administradr de cntenids (CMS) deb usar? La tendencia que existe actualmente de usar este tip de administradr de cntenids (Open Surce Drupal y Wrdpress) respnde a la calidad del servici y sprte brindad pr la cmunidad de desarrlladres en el ámbit internacinal. Actualmente ests ds gestres de cntenids han sid premiads cn el Packt Open Surce Awards y pseen sprte permanente en cas se identifique un prblema que cmprmeta la seguridad de ls cntenids del usuari. Pr tales mtivs, se recmienda el us de ls ds gestres de cntenids mencinads siempre que se tmen en cuenta ls siguientes lineamients: El prveedr debe evaluar qué CMS va a utilizar dependiend de la envergadura y cmplejidad del siti web. Se recmienda usar Wrdpress para páginas web de events y unidades que n representen grandes lectura de infrmación, y Drupal para pryects much más grandes que requieran un sistema de almacenamient y relación de dats más cmplejs. Es imprtante indicar que ests ds CMS sn ls únics que brindan sprte para las aplicacines de integración de la Universidad. Tda página web diseñada en cualquiera de ests ds CMS se deberá desarrllar sin alterar el núcle del sistema (cre). Pr ningún mtiv deberá ser vulnerad ( rt ) ya que est acarreará prblemas de actualización de versines y pdría cmprmeter la seguridad del siti web. El bjetiv es que el prveedr de la PUCP se especialice en el CMS que se decida utilizar de tal frma que el dmini de la herramienta permita crear cmpnentes particulares para cada sistema, que se basen en ls prpis prducts, recurss y servicis de la unidad. Asimism, se espera que permita cncebir diseñs flexibles que puedan ser actualizads en próximas versines sin necesidad de una reestructuración cmpleta. 2. Cnsideracines respect a la elabración del template Wrdpress El template debe ser cread a medida, n se debe editar las plantillas que vienen pr defect para Wrdpress. Clcar tdas las funcines en el archiv functin.php del template Usar el archiv 404.php para persnalizar la página Errr 404 Desactivar las revisines de las páginas N dejar espacis en blanc después del tag de cierre de php Prcurar usar el editr de text enriquecid que viene pr defect en Wrdpress y n plugins que cambien ls btnes del editr Usar style- editr.css para persnalizar ls estils del editr de text enriquecid Drupal N mdificar ls themes cre de Drupal Debe usarse el theme Zen versión 6.x- 2.0 El theme debe instalarse en la ruta sites/nmbre_del_siti/themes, dnde nmbre_del_siti es la carpeta del siti web que se está desarrlland. N mdificar ls móduls a utilizar. Si se desea hacerl, crear un módul auxiliar que mdifique el riginal.

4 Ls móduls a usar se instalarán en la ruta sites/all/mdules Usar siempre la última versión del módul a utilizar Dcumentar la relación de móduls extras a utilizar indicand sus respectivas versines 3. Cnsideracines respect al maquetad e integración de la plantilla La plantilla debe estar en frmat XHTML 1.0 Transitinal En la hja de estils, usar slamente CSS 1 y CSS 2 N usar cndicinales html para cada tip de navegadr En cas de usar jquery, utilizar el que viene pr defect cn Wrdpress descargar a la carpeta de la plantilla el jquery.js e invcarl lcalmente, n desde el repsitri de Ggle En cas de usar Ggle Fnts, descargar las fuentes a la carpeta de la plantilla e invcarlas lcalmente En el html n usar rutas abslutas escritas directamente en el códig ni rutas relativas simples. Se debe prcurar usar la función blginf() del Wrdpress para btener la ruta de la carpeta del template. Las ID y Class para estils persnalizads n pueden ir en el cntenid editable, sl en ls cntenedres. Pr ese mtiv, se debe prcurar usar estils anidads. Es necesari validar el códig html de ls errres crítics (XHTML y CSS), cm mínim: validatr/ Las imágenes que frmen parte del prtal deben ser ptimizadas cn la finalidad de disminuir el tiemp de carga pr página. 4. Cnsideracines que debe tener la administración respect al armad del siti N clcar tds ls tips de páginas cm psts, sin crear Custm Pst Type pr cada tip diferente de página N exceder el us de las categrías para asignar prpiedades a las páginas creadas filtradas, sin crear taxnmías persnalizadas Prcurar usar ls CustmFields de Wrdpress para camps persnalizads en cada página Usar la funcinalidad Menú de la administración para crear menús administrables 5. Cnsideracines respect al us de cmpnentes y plugins Es necesari verificar la cnfiabilidad del siti desde dnde se descargan ls plugins necesaris, pr tant se debe utilizar ls que han sid validads pr la Universidad y que se muestran en la siguiente lista Tda página web debe tener asciada, a la sección Cntáctens, un frmulari que registre infrmación baj ls siguientes camps: Nmbres y apellids Crre electrónic

5 Asunt Mensaje Códig captcha El plugin que se deberá usar es el cntact- frm- 7, que permitirá habilitar un frmulari persnalizad según las necesidades de cada unidad. Evitar el us de plugins que permitan el us de php en el editr de cntenids, en widgets en camps persnalizads Evitar el us de plugins para cmpartir en redes sciales. En ese cas, se recmienda usar btnes prpis de cada red scial Evitar el us plugins para guardar cache de las páginas internas Para cmpartir pr crre, sl usar el API del pluginaddthis, n instalar el plugin Para descargar página cm PDF, usar servicis en línea cm pdfnline html2pdf Listad de plugins válids para diversas funcinalidades que requiera la página: advanced- custm- fields: para crear camps persnalizads CustmFields cms- tree- page- view: vista mejrada de listad de páginas en frmat de árbl cntact- frm- 7: para crear frmularis persnalizads y administrables custm- pst- type- ui: sirven para administrar ls Custm Pst Type mbilepress: para crear versines móviles really- simple- captcha: para crear captcha para frmularis redirectin: para crear redireccines persnalizadas tinymce- advanced: usar sl en cas se requiera el manej de tablas cn el editr de cntenid wrdpress- se: para mejrar el SEO de la página y crear mapa de sitis wp- cumulus: para crear nubes de etiquetas animadas wp- paginate: para crear una paginación persnalizada wp- print: para crear versines para imprimir cada página wp- hipercache: para el manej de cntenid en cache, ayuda a cargar las páginas web del prtal de manera rápida wp- ses: para el manej de enví de crre mediante frmularis de cntacts Para ver la lista cmpleta de plugins validads pr la Universidad, ingrese al siguiente enlace: 6. Cnsideracines respect a la seguridad del siti Este apartad busca brindar las recmendacines cnsideracines más imprtantes que td prveedr debe tener presente ante cualquier desarrll de aplicacines web. Teniend en cuenta que td siti web será desarrllad en un CMS Open Surce, es recmendable identificar si ya fue cubiert el tema de la seguridad cn algún plugin. Si n se dispne del cmpnente necesari, es recmendable que el prveedr desarrlle un específic cn el fin de cubrir este requerimient y que sea instalad sin alterar el cre del CMS utilizad. 6.1 Validación de entradas y salidas de infrmación: el prces de entrada y salida de infrmación es el principal mecanism del que dispne un atacante para enviar recibir códig malicis cntra el sistema. Pr tant, siempre debe verificarse que cualquier dat entrante saliente es el aprpiad y debe estar en el frmat que

6 se espera. Las características de ests dats deben estar predefinidas y deben verificarse en tdas las casines. Algunas recmendacines para la validación de las entradas: Tener mecanisms de validación de dats Validar tdas las entradas que pueden ser mdificadas pr un usuari malicis: cabeceras HTTP, input fields, hidden fields, drp dwn lists, etc. Cmprbar las lngitudes de tdas las entradas Validar tds ls camps, ckies, http headers/bdies y frm fields Frmatear ls dats cnvenientemente y asegurarse de que sl cntengan caracteres cncids cm buens Validar ls dats en el servidr Asegurarse de que n hay puertas traseras en el mdel de validación Validar la extensión, cntenids y tamañs de ls elements a publicar de acuerd cn las limitacines del servidr web, ya sea imágenes, dcuments, vides, audis, etc. Imprtante: cualquier entrada externa, sea cual sea, debe ser examinada y validada. Algunas recmendacines para la validación de las salidas: En primer lugar, se debe frecer la mínima infrmación ante una situación de errr una validación negativa. Pr este mtiv, ls mecanisms de seguridad deben diseñarse de tal manera que faciliten la mínima infrmación psible y para que, cuand se haya denegad una peración, cualquier tra sea igualmente denegada. 6.2 Gestión de errres / fuga de infrmación: durante el prces de desarrll de una aplicación, el reprte de errres puede llegar a ser muy útil; per una vez que se pasa la aplicación al entrn de prducción, es necesari escnder td tip de reprte, ya que pdría facilitar el trabaj a psibles atacantes. Si deseams evitar que se muestren ls mensajes de errr predefinids, pdems mdificar el reprte de errres en el script de PHP mediante la función errr_reprting(0) Algunas recmendacines para la gestión de errres fuga de infrmación: Asegurarse de que tdas las llamadas a métds funcines que devuelven un valr tienen su cntrl de errres. Asimism que sea psible cmprbar el valr devuelt. Asegurarse de gestinar adecuadamente las excepcines y ls errres en la aplicación (dependiend de la aplicación se debe activar un Prelading que indique al usuari que la aplicación está cargand). Asegurarse de que el usuari n perciba errres del sistema Asegurarse de que la aplicación falla de un md segur Asegurarse de liberar ls recurss en cas de errr. Cntrlar el detalle de errres a través de un lg prtegid y n en la misma pantalla de navegación

7 Persnalizar ls errres de páginas n encntradas (404 Nt Fund). En ess cass, se recmienda utilizar el siguiente mensaje: Página n encntrada Busca alg en la Pntificia Universidad Católica del Perú? La página slicitada puede n estar dispnible, haber cambiad de dirección (URL) n existir. Disculpe pr las mlestias. Cn frecuencia es debid a algún errr al escribir la dirección de la página (URL). Cmpruébela de nuev para ver si es crrecta. Gracias pr visitar la Pntificia Universidad Católica del Perú. 6.3 Prtección cntra vulnerabilidades: verificar que el siti web n es vulnerable a ls siguientes ataques cmunes: SQL Injectin: es una técnica que se utiliza para intrducir mdificar las llamadas a una base de dats, para ell se aprvecha de la falta de validación de las variables. HTML Injectin: al igual que curre cn el ataque anterir, se puede utilizar la inyección de códig HTML. Crss- Site- Scripting (XSS): es una técnica que se utiliza para intrducir códig HTML Java Script a través de frmularis web. 6.4 Cntar cn mecanisms de autenticación Asegurarse de que tdas las peticines pasan pr un frmulari de autenticación y que este n se puede mitir (tener cuidad cn las URL de acces direct, pr ese mtiv es imprtante la autenticación). Verificar que tdas las páginas cumplen el requisit de autenticación Asegurarse de que siempre que se pasen credenciales de autenticación ( cualquier infrmación sensible) sl se aceptará la infrmación vía HTTP POST y nunca cn GET. Cualquier página para la que se descarte el mecanism de autenticación debe ser revisada para asegurarse de que n tiene brechas de seguridad. Asegurarse de que las credenciales de autenticación n van en text plan. Verificar que n hay puertas traseras en el códig en prducción 6.5 Estructura administrable e independiente: cnsiste en una interfaz que cntrla una varias bases de dats dnde se alja el cntenid del siti web. El sistema debe permitir manejar el cntenid y las plantillas de manera independiente, además de agregar editres y designar rles diferenciads en la administración del siti. 6.6 Privilegis de archivs y carpetas: es necesari identificar las carpetas dnde el siti web realizará subidas de archivs para que estas reciban un trat diferente

8 al mment de la publicación del siti web, ya que será necesari brindar permiss sbre dichas carpetas además de registrarlas en el servidr dnde será aljada la página web. 7 Cnsideracines sbre las versines de aplicativs en ls servidres Para que ls desarrlls web elabrads pr tercers sean cmpatibles cn las herramientas de desarrll utilizadas en la Universidad, se debe tener en cuenta las siguientes características: Manejadr de base de dats: Mysql- server 5.5.x Lenguaje de prgramación de aplicacines web: PHP 5.3.x Sistemas manejadres de cntenids (CMS últimas versines) Wrdpress en españl. Multisiti para ls que cuentan cn un dmini asciad a un genéric, pr ejempl Validación cn el módul de seguridad Md- Security Para cnsultar acerca de las versines actualmente vigentes de ests servicis, visite la sección de preguntas frecuentes del Prtal de Cmunicación Institucinal. 8 Cnsideracines sbre us del lgtip institucinal Cn el fin de pryectar una imagen sólida y cnsistente de la Universidad es necesari tmar en cnsideración la guía que la misma establece cm estándar visual para el us del lgtip institucinal de la Pntificia Universidad Católica del Perú en medis electrónics. Pr tal mtiv, la unidad debe descargar la última versión actualizada del Manual de us del lgtip institucinal en prducts digitales para que se tmen en cnsideración tdas las indicacines allí establecidas. Este dcument puede ser descargad del Prtal de Cmunicación Institucinal. 9 Cnsideracines sbre móduls institucinales Tdas las páginas web de unidades académicas deben cntar cn ls móduls institucinales: Móduls Agenda y PuntEdu en pie de página Ests móduls deben ser incluids y presentads dentr de las prpuestas de diseñ que se envían a las unidades PUCP cnsiderándls cm estándares institucinales que rigen para td siti web que pertenece al dmini pucp.edu.pe La unidad debe slicitar cn anticipación a la Dirección de Cmunicación Institucinal (DCI) el listad de nticias, events vides que aplican a la unidad en mención. Nticias de la unidad en PuntEdu Events de la unidad en AgendaPUCP

9 Lista de prducción de vides (en cas la unidad cuente cn una) Redes sciales PUCP (ícns) Facebk PUCP Twitter PUCP YuTube Servicis PUCP (enlaces) Página principal PUCP PuntEdu Intranet y crre servicis.html Campus Virtual Bibliteca Firma cierre de página Las firmas de tdas las páginas deberán guardar este frmat cn la salvedad del teléfn y anex, que sn ls elements que se diferencian pr cada unidad, así cm el añ, que debe ser editad desde la administración: [añ] Pntificia Universidad Católica del Perú - Tds ls derechs reservads Av. Universitaria N 1801, San Miguel, Lima 32 - Perú Teléfn: (511) , [anex] 10 Cnsideracines sbre el seguimient del siti Es indispensable que td prveedr tenga en cuenta las siguientes cnsideracines respect al us de la analítica y códigs de seguimient en la página web que está desarrlland:

10 Tdas las analíticas estarán asciadas a las cuentas institucinales creadas en Ggle Analytics. Esta asignación la realiza la DCI al mment de la publicación de la página web. Dentr de ls apartads de una web es necesari que las siguientes seccines cuenten cn códig de seguimient que permita registrar el dat de descarga. Ls dats resaltads sn ls elements diferenciadres pr cada siti. Zna de descargas <a href="xxxx.pdf" nclick="_gaq.push(['_trackevent', 'Descargas', 'clic', ' NmbreDeDcument']);">descarga aquí</a> Dnde: NmbreDeDcument = Silab- curs- Ciudadania- Intercultural.pdf. Frmulari de inscripción cntact _gaq.push(['_trackevent', 'inscripcin','nmbreprgrama", 'aqui']) <input name="regslicitud" type="buttn" value="regslicitud" nclick="validar_frmulari(dcument.frminscripcin); _gaq.push(['_trackevent', 'inscripcin','nmbreprgrama','aqui']);"/> Dnde: Inscripcin = Ficha de inscripcin. NmbrePrgrama= Primeras Jrnadas de Derech de Aguas Nta: ls nmbres deberán ir sin tildes. 11 Lineamients de accesibilidad web (según El tamañ del cuerp de text n debe ser menr de 12 píxeles. Se puede usar 11 píxeles sl para infrmación cmplementaria, cm barras laterales, ls texts de fechas y la sección Ver más. Se debe prcurar que ls clres tengan cntraste entre sí para que td el cntenid sea legible en mnitres de baja reslución y pr usuaris que n puedan percibir diferencias de clres. La definición del clr de ls enlaces debe estar estandarizada en el cntenid de td el siti. Ls enlaces en títuls, cuerp de text y barras laterales móduls deben cmprtarse de manera cnsistente en tdas las vistas de la web. El usuari debe pder identificar cn facilidad la navegación principal del siti (menú principal) en relación cn la secundaria.

11 12 Cnsideracines para las diferentes etapas del pryect El prveedr deberá tener en cuenta que desde la definición de ls términs del cntrat y durante td el prces de desarrll del siti web, hasta su puesta en marcha, se realizarán diferentes etapas de revisión cn el fin de crrbrar que el trabaj está siguiend crrectamente las especificacines que establece la Universidad: Revisines sbre la implementación Al inici del desarrll del siti web Entregables para su revisión (en PDF): Mckup wireframe y el brief del pryect que se está elabrand. Al 50% del desarrll del siti web Ruta (URL) dnde se está desarrlland el siti y la lista de tds ls plugins cmpnentes utilizads hasta el mment. Puede crrbrar la lista de ls plugins validads pr la Universidad en el siguiente enlace: Al terminar el 100% del desarrll del siti web La unidad debe enviar: - Ruta (URL) del desarrll final del siti web - Códig fuente de td el desarrll - Lista de tds ls plugins y/ cmpnentes utilizads - Template - Estructura de la base de dats en frmat Mysql - Dats de acces cm administradr del siti web Tds ls entregables cnsiderads para la revisión deberán ser enviads pr la unidad a través de la generación de una slicitud de cmunicación a través del Prtal de Cmunicación Institucinal. Una vez que el siti web haya pasad pr la validación técnica, la DCI elabrará un infrme dnde detallará ls ajustes encntrads en la aplicación; de l cntrari, esta será publicada en la ruta ficial previamente definida. Es imprtante indicar que la Universidad realizará cuand cnsidere necesari una nueva revisión de la aplicación cn la finalidad de garantizar la crrecta funcinalidad del mism.