Senarai Semak Keselamatan Laman Web Sebelum Dilancarkan
Keselamatan sering kali dianggap sebagai perkara sampingan. Anda menyiapkan reka bentuk dan menguji ciri-ciri yang ada. Anda melancarkannya. Kemudian, serangan berlaku.
Laman web kecil adalah sasaran. Penyerang mencari kata laluan yang lemah dan perisian lama. Satu kesilapan boleh mengakibatkan kebocoran data dan hilangnya kepercayaan.
Gunakan senarai semak ini sebelum anda melancarkan laman web anda yang seterusnya.
• Sediakan SSL Pastikan HTTPS berfungsi pada setiap halaman. Alihkan semua trafik HTTP ke HTTPS.
• Bersihkan fail anda Buang halaman ujian, URL staging, dan fail sandaran. Jangan biarkan alatan pembangun (developer tools) boleh diakses secara umum.
• Kemas kini kredensial Tukar semua nama pengguna dan kata laluan lalai. Gunakan kata laluan yang panjang dan unik dengan nombor serta simbol.
• Aktifkan MFA Hidupkan Pengesahan Pelbagai Faktor (Multi-Factor Authentication) untuk semua admin, pembangun, dan akaun pengehosan.
• Tampal perisian anda Pasang versi terkini CMS, plugin, dan tema anda. Padam mana-mana plugin yang tidak digunakan.
• Amankan akses admin Gunakan URL admin tersuai dan hadkan percubaan log masuk. Tambah CAPTCHA pada halaman log masuk anda.
• Hadkan peranan pengguna Berikan akses yang diperlukan sahaja kepada pengguna. Editor tidak sepatutnya mempunyai hak admin.
• Sahkan semua input Gunakan pertanyaan berparameter (parameterized queries) untuk menghalang suntikan SQL (SQL injection). Bersihkan (sanitize) semua data pengguna untuk mencegah serangan XSS.
• Tetapkan pengepala keselamatan Gunakan pengepala seperti CSP dan HSTS untuk memperkukuh perlindungan pelayar.
• Nyahaktifkan pelayaran direktori Pastikan pelawat tidak boleh melayari folder pelayan anda.
• Amankan muat naik fail Hadkan jenis dan saiz fail. Imbas semua muat naik untuk mencari perisian hasad (malware).
• Uji sandaran anda Buat sandaran fail dan pangkalan data anda. Uji proses pemulihan untuk memastikan ia berfungsi.
• Sembunyikan mesej ralat Matikan mod debug. Paparkan halaman ralat yang mesra pengguna dan bukannya data teknikal sistem.
• Pantau laman web anda Perhatikan log masuk yang gagal, waktu henti (downtime), dan corak trafik yang pelik.
Keselamatan adalah sebahagian daripada pembangunan. Ia bukan tugas untuk kemudian hari. Persediaan mencegah bencana.
Sumber: https://dev.to/wingsdesignstudio/website-security-checklist-before-going-live-312n