← مقالات سپهر
چک‌لیست امنیت پایه برای سامانه‌های تحت وب
بخش بزرگی از حمله‌ها از ضعف‌های ساده استفاده می‌کنند. این چک‌لیست موارد پایه‌ای را مرور می‌کند که هر سامانه‌ی وب باید رعایت کند.
ارتباط امن
- فعال بودن HTTPS روی همه‌ی صفحه‌ها و تغییر مسیر خودکار از HTTP
- فعال‌سازی HSTS پس از اطمینان از صحت گواهی
- تمدید به‌موقع گواهی SSL
هویت و دسترسی
- رمزهای عبور به‌صورت هش‌شده با الگوریتم مناسب ذخیره شود، نه به‌صورت متن ساده
- محدودسازی تعداد تلاش‌های ورود ناموفق
- کنترل دسترسی در سمت سرور برای هر درخواست، نه فقط پنهان کردن دکمه‌ها
- کمترین سطح دسترسی لازم برای هر نقش
داده‌های ورودی
- اعتبارسنجی و پاک‌سازی همه‌ی ورودی‌ها در سمت سرور
- استفاده از کوئری‌های پارامتری برای پایگاه داده
- محدودیت نوع و اندازه‌ی فایل‌های بارگذاری‌شده
هدرهای امنیتی
- Content-Security-Policy برای محدود کردن منابع قابل‌بارگذاری
- X-Content-Type-Options و X-Frame-Options یا frame-ancestors
- Referrer-Policy و Permissions-Policy متناسب با نیاز سایت
نگهداری
- به‌روزرسانی منظم سیستم‌عامل، وب‌سرور و کتابخانه‌ها
- پشتیبان‌گیری منظم و آزمودن بازیابی
- جلوگیری از دانلود فایل‌های پشتیبان، لاگ و پیکربندی روی سرور
- ثبت رویدادهای مهم و بررسی دوره‌ای آن‌ها
گام بعدی
این فهرست فقط نقطه‌ی شروع است. برای سامانه‌هایی که با داده‌ی حساس یا پرداخت سروکار دارند، یک ارزیابی تخصصی آسیب‌پذیری توصیه می‌شود.
برای پروژه‌ی خود مشاوره می‌خواهید؟
نیاز خود را با ما در میان بگذارید؛ در جلسه‌ی اول مسیر مناسب را روشن می‌کنیم.