Teil 2: CMS-Serie: Drupal vorgestellt

Während die Software quelloffen und daher kostenlos ist, verlangt der Anbieter der Distribution für das optionale Abonnement Acquia Network Subscription je nach Ausbaustufe ab 200 Dollar pro Jahr. Acquia Drupal lässt sich aber auch ohne den kommerziellen Dienst nutzen.

Sicherheitsaspekte

Das Core von Drupal ist leider nicht ganz immun gegen Angriffe, was allerdings zum Teil mit Sicherheitsproblemen in PHP 4.x und 5.x zusammenhängt. Bei den bekannten Schwachstellen im Drupal-Core handelt es sich generell um vergleichsweise unkritische Sicherheitsrisiken.

Zuletzt sind Sicherheitslücken des Drupal-Core im Januar dieses Jahres bekannt geworden und wurden mit dem Update auf Version 6.9 behoben. Es existieren jedoch einige kritische Sicherheitsprobleme bei einigen Modulen von Drittanbietern.

Die Installation externer Erweiterungen bringt auch bei Drupal potenzielle Risiken mit sich. So überraschte das Modul Project release im Januar dieses Jahres mit einer kritischen Sicherheitslücke durch XSS (Cross Site Scripting) und unkontrollierte Dateiübertragung.

Vor der Installation eines Moduls können Sie den Kandidaten auf ausstehende Sicherheitsprobleme hin überprüfen. Die Drupal-Entwicklergemeinde protokolliert den Status bekannter Sicherheitslücken in einer zentralen Datenbank unter .

Kompromiss

Content-Management-Systeme versuchen immer einen Balanceakt zwischen Sicherheit und Wartungsfreundlichkeit herzustellen. Das Perl-basierte Mason, auf das sich Amazons E-Commerce-Plattform stützt, kann zwar recht hohe Sicherheitsstandards einhalten, erfordert aber im Gegenzug eine Menge Programmierarbeit und kann ein ganzes Team von Perl-Entwicklern auslasten.

Die meisten Website-Betreiber neigen daher zu schlüsselfertigen Lösungen auf Basis von PHP wie beispielsweise Joomla oder Zikula, die nur geringfügige Anpassungen erfordern. Doch gerade diese CMS-Systeme sind genauso wartungsfreundlich wie auch unsicher.

Eine positive Ausnahme stellt Drupal 6.9 dar. Während für Joomla- und Zikula-Anwender die lückenhafte Sicherheit ein massives Problem darstellt, sind Drupal-Anwender mehrheitlich zufrieden.

Drupal-Entwickler sind sich der Achillesferse Sicherheit durchaus bewusst und nehmen es nicht auf die leichte Schulter, wie man es an der sorgfältig gepflegten Datenbank von Sicherheits-relevanten Bugs erkennen kann.

Für Drupal 7 (Codename D7) ist die Abschaffung des mit Sicherheitsrisiken behafteten PHP 4.x angesagt. Das große Update soll erst ab PHP 5.2 laufen. Denn im Zweifelsfalle ist auch Drupal nur so sicher wie PHP.

Anpassen von Vorlagen

Drupal trennt konsequent die Inhalte von dem Layout und der Applikationslogik der Webseite: Inhalte aus der Datenbank werden durch die Template-Engine in einen so genannten Theme hineingegossen.

Der Mechanismus arbeitet mit drei Abstraktionsebenen: den Theme-Dateien, der Template-Sprache und der Template-Engine. Die Syntax der Template-Sprache variiert sehr stark je nach der verwendeten Template-Engine.

Die am häufigsten genutzte und am besten unterstützte Template-Engine ist PHPTemplate. Standardmäßig kommt Drupal mit nur wenigen recht simplen und funktionalen Vorlagen daher, den sogenannten Themes.

Themes für Drupal 6.x bestehen aus PHP-Dokumenten, Stylesheet-, optionalen Javascript-Dateien und Bildern. Eine typische Drupal-Webseite besteht aus Abschnitten wie dem Kopf- und Fußbereich, Seitenleisten und der Hauptspalte, die über die Template-Datei page.tpl.php anhand der Anweisungen in einer .info-Datei bezogen werden.

Weitere interessante Fakten zum CMS lesen Sie auf der nächsten Seite...