Lista kontrolna bezpieczeństwa strony internetowej przed uruchomieniem

Bezpieczeństwo jest często traktowane po macoszemu. Kończysz projektowanie i testujesz funkcje. Uruchamiasz stronę. Wtedy dochodzi do ataku.

Małe strony internetowe są celami. Atakujący szukają słabych haseł i przestarzałego oprogramowania. Jeden błąd prowadzi do wycieków danych i utraty zaufania.

Skorzystaj z tej listy kontrolnej przed uruchomieniem kolejnej strony.

• Skonfiguruj SSL Upewnij się, że HTTPS działa na każdej stronie. Przekieruj cały ruch HTTP na HTTPS.

• Wyczyść pliki Usuń strony testowe, adresy URL środowisk stagingowych i pliki kopii zapasowych. Nie pozostawiaj narzędzi programistycznych publicznie dostępnych.

• Zaktualizuj dane uwierzytelniające Zmień wszystkie domyślne nazwy użytkowników i hasła. Używaj długich, unikalnych haseł zawierających cyfry i symbole.

• Włącz MFA Włącz uwierzytelnianie wieloskładnikowe (MFA) dla wszystkich administratorów, programistów i kont hostingowych.

• Aktualizuj oprogramowanie Zainstaluj najnowsze wersje swojego CMS, wtyczek i motywów. Usuń wszystkie nieużywane wtyczki.

• Zabezpiecz dostęp administracyjny Używaj niestandardowych adresów URL dla panelu administracyjnego i ogranicz liczbę prób logowania. Dodaj CAPTCHA do strony logowania.

• Ogranicz role użytkowników Nadawaj ludziom tylko taki dostęp, jakiego potrzebują. Redaktorzy nie powinni mieć uprawnień administratora.

• Waliduj wszystkie dane wejściowe Używaj zapytań parametryzowanych, aby zapobiec atakom SQL injection. Sanitizuj wszystkie dane użytkowników, aby zapobiec atakom XSS.

• Ustaw nagłówki bezpieczeństwa Używaj nagłówków takich jak CSP i HSTS, aby wzmocnić ochronę przeglądarki.

• Wyłącz przeglądanie katalogów Upewnij się, że odwiedzający nie mogą przeglądać folderów na Twoim serwerze.

• Zabezpiecz przesyłanie plików Ogranicz typy i rozmiary plików. Skanuj wszystkie przesyłane pliki pod kątem złośliwego oprogramowania.

• Przetestuj kopie zapasowe Twórz kopie zapasowe plików i baz danych. Przetestuj proces przywracania, aby upewnić się, że działa poprawnie.

• Ukryj komunikaty o błędach Wyłącz tryb debugowania. Zamiast technicznych danych systemowych, pokazuj użytkownikom przyjazne strony błędów.

• Monitoruj swoją stronę Obserwuj nieudane próby logowania, przestoje i nietypowe wzorce ruchu.

Bezpieczeństwo jest częścią procesu tworzenia. To nie jest zadanie na później. Przygotowanie zapobiega katastrofie.

Źródło: https://dev.to/wingsdesignstudio/website-security-checklist-before-going-live-3