Für die öffentlichen Seiten spielt das ohnehin keine Rolle. Hat man es allerdings mit geschützten Seiten zu tun, sollte es den unangemeldeten Besuchern nicht möglich sein, auf die eingebundenen Dateien zuzugreifen. Doch genau das ist möglich, da TYPO3 diese Dateien ebenfalls in denselben Ordnern ablegt. Ein unangemeldeter Besucher benötigt lediglich den genauen Link zu einer Datei – damit kann er diese problemlos herunterladen. Die Ermittlung valider Links ist nicht nur für Hacker lediglich eine Frage der Zeit. Je nachdem, welche Dateien abgelegt wurden, kann dadurch ein erheblicher Schaden entstehen – man denke nur an die Ablage einer Mitarbeiterdatenliste oder die aktuellen Verkaufszahlen eines Unternehmens im PDF-Format. Gefährdet sind alle Dateien, die auf geschützten Seiten eingebunden/verlinkt wurden. Sie befinden sich im Fileadmin-, TYPO3temp- oder Uploadordner. Da das generelle Sperren dieser Ordner nicht ohne weiteres möglich ist, folgen nun einige Lösungen.

Sichere Dateilinks in Texten

Einen möglichen Ansatz zur Sicherung zeigen die Extension „Authorized file links“ [4] und „Authorized file links for TYPO3 4.0“ [5]. Diese FrontEnd-Extension leitet in typischen Inhaltselementen (text, ...) alle Dateilinks, die auf den Fileadmin-Ordner verweisen, auf ein PHP-Skript um. Dieses Skript überprüft bei jedem Aufruf, ob der Besucher die nötigen Rechte für die Seite mit dem entsprechenden Dateilink besitzt. Ist das der Fall, wird die Datei aus dem geschützten Fileadmin-Ordner per PHP ausgelesen und an den Besucher gesendet. Dass man bei Verwendung der Extension den Fileadmin-Ordner per .htaccess schützen sollte, liegt auf der Hand. Ansonsten läuft diese Extension auf Anhieb und ohne aufwändige Konfiguration. Möchte man den Autoren nur über die typischen Inhaltselemente – also nicht über das Inhaltselement Dateiliste – die Erstellung von Dateilinks erlauben, kann diese Extension effektiv eingesetzt werden.