¿Está bien usar solo el nombre de usuario / contraseña para asegurar una página de administrador para moderar un sitio web?

Creo que está bien tener un panel orientado hacia la web siempre que:

1. No se puede adivinar, por ejemplo, www.example.com/admin . No quieres que los usuarios notorios intenten forzar la fuerza bruta por dos razones:
   • En caso de que la fuerza bruta tenga éxito.
   • Si tiene una política de bloqueo de cuenta, lo que debería hacer, no quiere que lo bloqueen usuarios notorios.
2. Utilice contraseñas seguras que no serán contraseñas de diccionarios estándar.
3. Use autenticación fuera de banda junto con el sistema de autenticación regular. Esto evita la fuerza bruta y los bloqueos de cuentas.
4. Restrinja el panel de administración a direcciones IP específicas , como su dirección de subred interna y solo se puede acceder a través de VPN, esto debería brindarle una capa de protección adicional. Más información sobre esto en: enlace .
5. Y HTTPS debería ser el estándar , si la cookie no tiene la marca de seguridad y el conjunto de propiedades solo HTTP y el administrador navega a una página después de iniciar sesión y no cerrar sesión, y esta página contiene un script inyectado malintencionado, un là XSS, que puede provocar el robo de la cookie y probablemente la autenticación se vuelva inútil junto con los ataques de desvío CSRF, etc. Por lo tanto, IMO, HTTPS deben implementarse en toda la aplicación.
6. Si hay varios administradores y el sistema de autenticación tiene un backend SQL dstrong , use consultas parametrizadas .

Eso es todo lo que puedo pensar ahora mismo. El enlace que publiqué con mi cuarto punto debería darte más información.

Muchas aplicaciones se basan en una combinación simple de nombre de usuario y contraseña. Esta no es la técnica por la que debería preocuparse, sino cómo la implementa.

Debe asegurarse de que las contraseñas sean lo suficientemente fuertes como para no ser adivinadas. No deben almacenarse en texto sin formato en su base de datos en caso de que se vea comprometida. Además, desea evitar la intercepción de la contraseña (o hashes) teniendo una página de inicio de sesión HTTPS configurada.

Se aplican otras recomendaciones de contraseña (no reutilizar la contraseña, etc.)

Si está realmente preocupado por el método, puede agregar más / usar otras formas de autenticar usuarios (uso de la autenticación de 2 factores, openid, ...)

Para sitios de bajo valor, el nombre de usuario y la contraseña están bien. Hay una gran cantidad de sitios en los que no vale la pena piratear, y donde el riesgo / costo de compromiso para usted es bastante mínimo en comparación con el costo de asegurarla.

Sin embargo, para la mayoría de los sitios, debe requerir el uso de HTTPS o VPN al realizar funciones administrativas. Ahora hay algunas autoridades de certificados SSL que proporcionan certificados básicos validados en el dominio de forma gratuita y de confianza para todos los navegadores principales, por lo que realmente no hay excusa para no usar SSL cuando necesite la seguridad.

Para los sitios de alto valor, además de cifrar la comunicación, también debe requerir la autenticación multifactor. Es posible que desee solicitar un certificado de cliente o una contraseña de un solo uso o un token de hardware. Esto aumenta la dificultad de la administración, pero eso es un reflejo de cuánto le importa la seguridad.

Siempre es un equilibrio entre seguridad y usabilidad.