قائمة التحقق من أمن الموقع الإلكتروني قبل الإطلاق

غالبًا ما يُنظر إلى الأمن كأمر ثانوي. تنتهي من التصميم وتختبر الميزات، ثم تطلق الموقع. وبعد ذلك، يحدث الهجوم.

المواقع الصغيرة هي أهداف مستهدفة. يبحث المهاجمون عن كلمات المرور الضعيفة والبرمجيات القديمة. خطأ واحد قد يؤدي إلى اختراق البيانات وفقدان الثقة.

استخدم قائمة التحقق هذه قبل إطلاق موقعك القادم.

• إعداد SSL تأكد من عمل HTTPS في كل صفحة. قم بتحويل جميع زيارات HTTP إلى HTTPS.

• تنظيف ملفاتك قم بإزالة صفحات الاختبار، وروابط بيئة التطوير (staging URLs)، وملفات النسخ الاحتياطي. لا تترك أدوات المطورين متاحة للعامة.

• تحديث بيانات الاعتماد قم بتغيير جميع أسماء المستخدمين وكلمات المرور الافتراضية. استخدم كلمات مرور طويلة وفريدة تحتوي على أرقام ورموز.

• تفعيل MFA قم بتفعيل المصادقة متعددة العوامل (Multi-Factor Authentication) لجميع المسؤولين والمطورين وحسابات الاستضافة.

• تحديث برمجياتك قم بتثبيت أحدث الإصدارات من نظام إدارة المحتوى (CMS)، والإضافات (plugins)، والقوالب (themes). احذف أي إضافات غير مستخدمة.

• تأمين وصول المسؤول استخدم روابط مخصصة لصفحة المسؤول وحد من محاولات تسجيل الدخول. أضف CAPTCHA إلى صفحة تسجيل الدخول.

• تحديد أدوار المستخدمين امنح الأشخاص فقط صلاحيات الوصول التي يحتاجونها. لا ينبغي للمحررين امتلاك صلاحيات المسؤول.

• التحقق من صحة جميع المدخلات استخدم الاستعلامات ذات المعلمات (parameterized queries) لمنع هجمات SQL injection. قم بتنقية (Sanitize) جميع بيانات المستخدم لمنع هجمات XSS.

• ضبط ترويسات الأمان استخدم ترويسات مثل CSP و HSTS لتعزيز حماية المتصفح.

• تعطيل تصفح المجلدات تأكد من عدم قدرة الزوار على تصفح مجلدات الخادم الخاص بك.

• تأمين رفع الملفات حدد أنواع الملفات وأحجامها. افحص جميع الملفات المرفوعة بحثًا عن البرمجيات الخبيثة.

• اختبار النسخ الاحتياطي قم بعمل نسخ احتياطي لملفاتك وقواعد بياناتك. اختبر عملية الاستعادة للتأكد من أنها تعمل.

• إخفاء رسائل الخطأ قم بإيقاف وضع التصحيح (debug mode). اعرض للمستخدمين صفحات خطأ ودودة بدلاً من البيانات التقنية للنظام.

• مراقبة موقعك راقب محاولات تسجيل الدخول الفاشلة، وفترات التوقف، وأنماط حركة المرور الغريبة.

الأمن جزء من عملية التطوير، وليس مهمة مؤجلة. الاستعداد يمنع الكوارث.

المصدر: https://dev.to/wingsdesignstudio/website-security-checklist-before-going-live-312n