Internet adalah lingkungan yang bermusuhan. Sebelum menyebarkan proyek Django anda, anda harus mengambil beberapa waktu untuk meninjau pengaturan anda, dengan penampilan keamanan, dan tindakan dalam pikiran.
\nDjango menyertakan banyak fitur keamanan. Beberapa dibangun dan selalu tersedia. Lainnya pilihan karena mereka tidak selalu sesuai, atau karena mereka susah untuk dikembangkan. Sebagai contoh, memaksa HTTPS mungkin tidak cocok untuk semua situs jaringan, dan dia tidak berguna untuk pengembangan lokal.
\nOptimalisasi penampilan adalah kategori lain dari penjualan dengan mudahnya. Sebagai contoh, menembolok sangat berguna dalam produksi, sedikit juga untuk pengembangan lokal. Kebutuhan pelaporan kesalahan sangat berbeda.
\nDaftar centang berikut menyertakan pengaturan yang:
\nharus di setel dengan benar untuk Django untuk menyediakan tingkatan diharapkan dari keamanan;
diharapkan menjadi berbeda dalam setiap lingkungan;
adakan pilihan fitur keamanan;
adakan optimalisasi penampilan;
menyediakan pelaporan kesalahan.
Banyak dari setelan ini adalah sesitif dan harus diperlakukan rahasia. Jika anda sedang menerbitkan sumber kode untuk proyek anda, praktik umum adalah menerbitkan pengaturan yang cocok untuk pengembangan, dan menggunakan modul setelan pribadi untuk produksi.
\nmanage.py check --deployLink to this heading#Beberapa pemeriksaan digambarkan dibawah dapat diotomatisasi menggunakan pilihan check --deploy. Pastikan menjalankannya terhadap berkas pengaturan produksi anda seperti yang digambarkan dalam dokumentasi pilihan.
SECRET_KEYLink to this heading#Kunci rahasia harus nilai acak besar dan dia harus tetap rahasia.
\nPastikan bahwa kunci digunakan dalam produksi tidak digunakan dimanapun dan hindari menyerahkannya ke sumber kendali. Ini mengurangi sejumlah vektor dari yang sebuah penyerang mungkin mendapatkan kunci.
\nDaripada kode keras kuncu rahasia dalam modul pengaturan anda, pertimbangkan memuatnya dari sebuah variabel lingkungan:
\nimport os\nSECRET_KEY = os.environ['SECRET_KEY']\natau dari sebuah berkas:
\nwith open('/etc/secret_key.txt') as f:\n SECRET_KEY = f.read().strip()\nDEBUGLink to this heading#Anda dilarang mengaktifkan debug di lingkungan produksi.
\nAnda pasti mengembangkan proyek anda dengan DEBUG = True, sejak ini mengadakan fitur mudah seperti pelacakan kembali penuh dalam perambah anda.
Untuk sebuah lingkungan produksi, meskipun, ini adalah ide jelek, karena dia membocorkan banyak informasi tentang proyek anda; kutipan dari kode sumber anda, variabel lokal, pengaturan, pustaka-pustaka digunakan, dll.
\nALLOWED_HOSTSLink to this heading#Ketika DEBUG = False, Django tidak bekerja sama sekali tanpa nilai cocok untuk ALLOWED_HOSTS.
Pengaturan ini dibutuhkan untuk melindungi situs anda terhadap beberapa serangan CSRF. Jika anda menggunakan wildcard, anda harus melakukan pengecekan anda sendiri dari kepala Host HTTP, atau jika tidak pastikan bahwa anda tidak rentan ke kategori serangan ini.
Anda harus juga mengkonfigurasi peladen Jaringan yang duduk didepan Django untuk mengecek rumah. Dia harus menjadwan dengan halaman kesalahan statis atai mengabaikan permintaan untuk rumah tidak benar dari pada meneruskan permintaan ke Django. Jalan ini anda akan menghindari kesalahan palsu dalam catatan Django anda (atau surel jika anda mempunyai pelaporan kesalahan dokonfigurasi seperti itu). Sebagai contoh, pada nginx anda mungkin menyetel sebuah peladen awal untuk mengembalikan "444 No Response" pada sebuah rumah tidak dikategorikan:
\nserver {\n listen 80 default_server;\n return 444;\n}\nCACHESLink to this heading#Jika anda sedang menggunakan tembolok, parameter tetap mungkin berbeda dalam pengembangan dan dalam produksi.
\nServer cache seringnya memiliki autentifikasi yang lemah. Pastikan hanya menerima koneksi dari server aplikasi anda saja.
\nJika anda sedang menggunakan Memcached, pertimbangkan menggunakan cached sessions untuk meningkatkan penampilan.
\nDATABASESLink to this heading#Parameter hubungan basisdata kemungkinan berbeda di pengembangan dan di produksi.
\nSandi basisdata sangat rahasia. Anda harus melindungi mereka persis seperti SECRET_KEY.
Untuk keamanan maksimal, pastikan peladen basisdata hanya menerima hubungan dari peladen aplikasi anda.
\nJika anda belum menyetel sokongan basisdata anda, lakukan sekarang!
\nSTATIC_ROOT dan STATIC_URLLink to this heading#Berkas statis otomatis dilayani oleh peladen pengembangan. Di produksi, anda harus menentukan direktori STATIC_ROOT dimana collectstatic akan menyalin mereka.
Lihat Mengelola berkas statis (sebagai contoh gambar, JavaScript, CSS) untuk informasi lebih.
\nMEDIA_ROOT dan MEDIA_URLLink to this heading#Berkas media diunggah oleh pengguna anda. Mereka tidak dapat dipercaya! Pastikan peladen jaringan anda tidak pernah mencoba untuk menafsirkannya. Sebagai contoh, jika pengguna mengunggah berkas .php, peladen jaringan jangan menjalankannya.
Sekarang waktu tepat untuk memeriksa strategi sokongan anda untuk berkas ini.
\nJaringan situs apapun yang mengizinkan pengguna untuk masuh harus melaksanakan lebar-situs HTTPS untuk menghindari token transmisi akses jelas. Di Django, token akses menyertakan masuk/sandi, sesi kue, dan setel kembali sandi token. (Anda tidak dapat melakukan banyak untuk melindungi sandi setel kembali token jika anda mengirim mereka dengan email.)
\nMelindungi kawasan sensitif seperti akun pengguna atau admin tidak cukuo, karena sesi kue sama digunakan untuk HTTP dan HTTPS. Peladen jaringan anda ahrus mengalihkan semua lalu lintas HTTP ke HTTPS, dan hanya mengirimkan permintaan HTTPS ke Django.
\nSekali anda telah menyetel HTTPS, adakan pengaturan berikut.
\n\n\nPengaturan DEBUG = False meniadakan beberapa fitur yang hanya berguna dalam pengembangan. Dalam tambahan, anda dapat menyesuaikan pengaturan berikut.
CONN_MAX_AGELink to this heading#Mengadakan persistent database connections dapat menghasilkan sebuah kecepatan bagus ketika berhubung ke akun basisdata untuk bagian khusus dari waktu pengolahan permintaan.
\nIni membantu banyak pada rumah virtual dengan penampilan jaringan terbatas.
\nTEMPLATESLink to this heading#Mengadakan pemuat cetakan tembolok sering memperbaiki penampilan secaradrastis, seperti dia menghindari menyusun setiap cetakan setiap kali dia dibutuhkan untuk dibangun. Lihat template loaders docs untuk informasi lebih.
\nSeiring waktu anda mendorong kode anda ke produksi, semoga kuat, tetapi anda tidak dapat mengesampingkan kesalahan-kesalahan tidak diharapkan. Terima kasih, Django dapat menangkap kesalahan-kesalahan dan membuertahu anda yang sesuai.
\nLOGGINGLink to this heading#Pratinjau konfigurasi pencatatan anda sebelum menaruh situs jaringan anda dalam produksi, dan periksa bahwa dia bekerja seauai harapan setelah anda menerima beberapa lalu lintas.
\nLihat Pencatatan untuk rincian pada tempuhan.
\nADMINS dan MANAGERSLink to this heading#ADMINS akan diberitahu dari 500 kesalahan oleh email.
MANAGERS akan diberitahu kesalahan 404. IGNORABLE_404_URLS dapat membantu saringan laporan palsu.
Lihat Pelaporan kesalahan untuk rincian di pelaporan kesalahan oleh email.
\n\nDjango menyertakan tampilan dan cetakan awal untuk beberapa kode kesalahan HTTP. Anda mungkin ingin mengesampingkan cetakan awal dengan membuat cetakam berikut di direktori cetakan akar anda: 404.html, 500.html, 403.html, dan 400.html. Tampilan awal harus mencukupi untuk 99% dari aplikasi Jaringan, tetapi jika anda menginginkan menyesuaikan mereka, lihat perintah ini yang juga mengandung rincian tentang cetakan awal:
Sangat kuta dianjurkan bahwa anda meminta pengolahan Python menjalankan aplikasi Django anda menggunakan pilihan -R atau dengan lingkungan PYTHONHASHSEED variabel disetel ke random. Pilihan ini diadakan secara awal mulai dengan Python 3.3.
Pilihan ini membantu melindungi situs anda dari serangan denial-of-service (DoS) dipicu oleh masukan dibuat. Sebuah serangan dapat secara drastis meningkatkan penggunaan CPU dengan menyebabkan penampilan kasus-buruk ketika membuat instance dict. Lihat oCERT advisory #2011-003 untuk informasi lebih.