Uwierzytelnianie dwuskładnikowe (2FA) wymaga potwierdzenia tożsamości za pomocą dwóch różnych rodzajów składników. Przykładem jest hasło, które użytkownik zna, oraz jednorazowy kod z urządzenia, które posiada.

Dwa hasła nie tworzą dwóch różnych składników. Z kolei sam kod wysłany zamiast hasła nie musi oznaczać logowania dwuskładnikowego. Znaczenie ma cały sposób uwierzytelniania, a nie liczba ekranów formularza.

2FA ogranicza ryzyko przejęcia konta po ujawnieniu hasła, ale nie usuwa wszystkich zagrożeń. Kod może zostać wyłudzony na fałszywej stronie, a aktywna sesja może zostać przejęta inną drogą.

W Joomla warto chronić szczególnie konta administratorów. Przed wymuszeniem dodatkowej metody przygotuj procedurę odzyskania dostępu i bezpiecznie przechowuj kody awaryjne. Nie należy dzielić jednego konta administratora między kilka osób.

Zobacz także: MFA i 2FA w Joomla.

Źródło: dokumentacja Joomla. Sprawdzono: 12 września 2026 r.

Web Authentication API (znany również jako WebAuthn) to specyfikacja napisana przez W3C i FIDO przy współudziale Google, Mozilla, Microsoft, Yubico i innych. Interfejs API umożliwia serwerom rejestrowanie i uwierzytelnianie użytkowników przy użyciu kryptografii klucza publicznego zamiast hasła. WebAuthn wykorzystuje kryptografię asymetryczną z kluczem publicznym i prywatnym. Klucz publiczny jest udostępniany serwerowi. Klucz prywatny nigdy nie opuści tokenu sprzętowego.

Nagłówek odpowiedzi HTTP X-Frame-Options może służyć do wskazania, czy przeglądarka powinna mieć możliwość renderowania strony w <frame>, <iframe>, <embed> lub <object>. Witryny mogą to wykorzystać, aby uniknąć ataków polegających na przechwytywaniu kliknięć, zapewniając, że ich zawartość nie jest osadzana w innych witrynach.
Dodatkowe zabezpieczenia są zapewniane tylko wtedy, gdy użytkownik uzyskujący dostęp do dokumentu używa przeglądarki obsługującej X-Frame-Options.

X-XSS-Protection to nagłówek HTTP sterujący dawnymi filtrami ataków cross-site scripting w niektórych przeglądarkach. Mechanizm jest przestarzały i nie stanowi podstawy ochrony współczesnej witryny.

Dawne zalecenie ustawiania wartości 1; mode=block nie jest uniwersalną receptą bezpieczeństwa. Historyczne filtry mogły w pewnych sytuacjach wprowadzać dodatkowe problemy. Część konfiguracji celowo wyłącza je wartością 0.

Co chroni stronę Joomla?

Znaczenie mają aktualizacje CMS i rozszerzeń, poprawne kodowanie danych przy wyświetlaniu oraz bezpieczna obsługa danych wejściowych. Dodatkową warstwę może stanowić właściwie przygotowana Content-Security-Policy.

CSP wymaga dopasowania do skryptów i zasobów witryny; przypadkowo skopiowane reguły mogą zepsuć formularze lub panel. Sam nagłówek nie naprawia podatnego dodatku. Wynik starego skanera wymagającego X-XSS-Protection trzeba więc interpretować w kontekście aktualnych przeglądarek.

Zobacz także: Permissions-Policy.

Źródło: dokumentacja MDN. Sprawdzono: 12 września 2026 r.

Model bezpieczeństwa zakładający, że żadnemu użytkownikowi ani urządzeniu nie można ufać domyślnie, niezależnie od lokalizacji w sieci. Zero Trust wymaga weryfikacji każdego żądania dostępu i jest szczególnie ważny w środowiskach chmurowych i pracy zdalnej.