Cosas de Administradores

Hola a todas/os.

En primer lugar, se me olvidó en mi primer mensaje explicar cómo podemos comprobar qué tiene Google indexado de nuestro sitio. Es muy sencillo: en Google tecleamos "site:misitio" y nos devolverá el listado de todas las páginas que tiene en su índice de nuestra web (ejemplo: "site:moodle.org" nos devuelve 694.000 páginas de este sitio).

Por otra parte, problema resuelto:

Tras varios mensajes de Eloy Lafuente de moodle.org (al que agradezco enormemente su dedicación) y varias comprobaciones por mi parte, ya  entiendo cómo había generado yo mismo, de una manera un poco "enrevesada", la vulnerabilidad sin darme cuenta (no era fácil, eh ).

Aquí está lo que dice Eloy:

"Ahí va un resumen, de mayor a menor protección:

1) Ajustando "forcelogin" a Sí, se consigue que todas las páginas del sitio, portada y cursos estén protegidas con usuario y contraseña. Además, ajustando "guestloginbutton" a No, conseguirás que los invitados no puedan entrar, solo usuarios registrados en el sitio. Por el contrario, si de dejas "guestloginbutton" a Sí, cualquier usuario (y también los buscadores) podrán "pinchar" el botón y ver la portada y todos los enlaces que en ella existan.

2) Si dejar "forcelogin" a No, la portada y todos los enlaces que en ella haya serán visibles para todo el mundo (buscadores incluídos). Y además, todos los cursos que tengan el ajuste "Acceso de invitados" a "Permitir acceso sin contraseña" también serán visibles para todo el mundo (buscadores incluídos).

Y esto es así con y sin "opentogoogle" activado. Lo único que ese ajuste hace... es detectar si la solicitud viene de un robot y "auto-conectar" al mismo como invitado. Conclusión... todo lo que en tu sitio puede ver un invitado... lo pueden ver los buscadores. Todo.

Por otra parte, restringir (cambiando permisos) el acceso a un bloque, no sirve de nada, ya que el módulo continuará teniendo permisos de acceso. Si en la portada quieres tener un foro que no sea accesible por los invitados/buscadores, solo hay 2 soluciones:

a) Utilizar el método 1) de arriba ("forcelogin" + "guestloginbutton" + "opentogoolge" desactivado).

b) Editar los permisos del foro para que los invitados no tengan acceso al mismo (no el bloque en el que aparece un enlace al foro, sino el foro en sí mismo).

Y, básicamente, ese es el asunto. Por defecto la portada (y todo lo que en ella hay) es visible para invitados/buscadores. Solo con a) o b) puedes evitarlo.

Personalmente, prefiero dejar la portada accesible, para poner noticias y cosas generales y crear un curso sin acceso a invitados para añadir las actividades/recursos comunes que quieras mantener. Este sistema evita tener que andar cambiando permisos de los roles en la página principal y demás."

De cómo generé yo la vulnerabilidad (por si puede servir a otros usuarios):

• Mis foros están situados en la portada de Moodle (aquí está el origen de los problemas), aunque no están visibles hasta que los usuarios se validan y, además no admito acceso de invitados. Aparentemente, esto funcionaba correctamente: sólo podían ver los foros los usuarios a los que yo daba de alta en la plataforma... salvo por los robots de búsqueda (Googlebot, etc)
• Tengo "forcelogin" en NO, porque hay algunos bloques de la portada que sí quiero que vea todo el mundo.
• En el BLOQUE que contiene los foros anulé el permiso de Guest para "ver bloque" pero, como dice Eloy, "restringir (cambiando permisos) el acceso a un bloque, no sirve de nada, ya que el módulo continuará teniendo permisos de acceso" y ahí está la clave de la vulnerabilidad: efectivamente, al no bloquear el acceso en CADA foro (módulos) sino en el bloque, esto funciona bien para usuarios "humanos" pero deja abierto el acceso a los robots de búsqueda.

Bueno, espero haberme explicado con claridad y, de nuevo, gracias a Eloy.

Saludos,

Santiago Benito