Een statische site heeft niets om in te breken
Deze blog wordt met Hugo gebouwd en als 6.343 gewone bestanden geserveerd, zonder dat er bij welk request dan ook code van mij draait. Daartegenover een standaard-WordPress 7.1.3, gemeten in een podman-lab: 133 REST-routes, waarvan 62 schrijfacties accepteren, 80 XML-RPC-methoden, 1.514 PHP-bestanden, elk van de 3.785 bestanden schrijfbaar voor de eigen gebruiker van de webserver, en een databaseaccount met elk privilege. Deze post telt beide aanvalsoppervlakken, legt uit wat het beveiligingsmodel van Hugo zelf tijdens de build doet, erkent waar het risico naartoe verhuist zodra er op serveertijd niets meer draait, inclusief twee gaten in hoe deze site werd gebouwd, waarvan er één nu gedicht is, en beschrijft hoe je een statische site offline bouwt, één keer, en niets anders uploadt dan de kant-en-klare bestanden.