Bei einer statischen Site gibt es nichts zum Einbrechen
Dieser Blog wird mit Hugo gebaut und als 6.343 reine Dateien ausgeliefert, ohne dass bei irgendeiner Anfrage Code von mir läuft. Dagegen ein Standard-WordPress 7.1.3, gemessen in einem Podman-Labor: 133 REST-Routen, 62 davon nehmen Schreibzugriffe an, 80 XML-RPC-Methoden, 1.514 PHP-Dateien, jede einzelne seiner 3.785 Dateien beschreibbar durch den eigenen Benutzer des Webservers, und ein Datenbankkonto mit allen Rechten. Dieser Beitrag zählt beide Angriffsflächen, erklärt, was Hugos eigenes Sicherheitsmodell beim Build tut, gibt offen zu, wohin das Risiko wandert, wenn beim Ausliefern nichts mehr läuft, einschließlich zweier Lücken im Build dieser Site, von denen eine inzwischen geschlossen ist, und zeigt, wie du eine statische Site offline baust, einmal, und nichts hochlädt außer den fertigen Dateien.