i-doit Webinterface absichern (HTTPS)

HTTPS einrichten

Für den sicheren Zugriff auf i-doit — insbesondere über das Internet — sollte HTTPS konfiguriert werden.

Apache VHost-Konfiguration

In der Apache VHost-Datei (z.B. /etc/apache2/sites-available/i-doit.conf):

<VirtualHost *:443>
    ServerName idoit.firma.de
    DocumentRoot /var/www/html/i-doit

    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/idoit.crt
    SSLCertificateKeyFile /etc/ssl/private/idoit.key
</VirtualHost>

# HTTP auf HTTPS umleiten
<VirtualHost *:80>
    ServerName idoit.firma.de
    Redirect permanent / https://idoit.firma.de/
</VirtualHost>

Danach Apache neu starten:

sudo a2enmod ssl
sudo a2ensite i-doit
sudo systemctl restart apache2

Zugriff über das Internet

Wenn i-doit von externen Standorten erreichbar sein soll:

• HTTPS ist Pflicht — API-Keys und Zugangsdaten werden sonst im Klartext übertragen
• Einen Reverse Proxy vorschalten (z.B. nginx) für zusätzliche Absicherung
• Firewall-Regeln so konfigurieren, dass nur die benötigten Ports (443) offen sind
• VPN als Alternative zum direkten Internetzugriff in Betracht ziehen

CSRF-Token (ab v38)

Ab i-doit v38 ist der CSRF-Token-Schutz konfigurierbar. Die Einstellung befindet sich im Admin-Center unter System Settings > Security > CSRF-Token.

Ausführliche Dokumentation: Sicherheit und Schutz in der Knowledge Base