Безпека - не продукт, який купуєш одного разу й забуваєш. Це невеликий набір звичок, застосованих послідовно. Хороша новина: більшість бізнес-вебсайтів та вебзастосунків можуть покрити основну частину реалістичних ризиків за допомогою кількох базових практик.
HTTPS та обробка сертифікатів
Кожна сторінка має завантажуватися через HTTPS. Це більше не приємний бонус - браузери, користувачі та пошукові системи всі ставляться до HTTP як до зламаного. Перенаправляйте HTTP на HTTPS, поновлюйте сертифікати автоматично (більшість хостів роблять це безкоштовно) та перевірте, що попередження про змішаний контент зникли.
Правильно зроблена автентифікація
- Використовуйте довгі паролі чи парольні фрази, а не складні короткі.
- Увімкніть двофакторну автентифікацію (2FA) для всього важливого - адмінпанелей, облікових записів хостингу, пошти, платіжних інструментів.
- Використовуйте менеджер паролів у команді, а не спільну електронну таблицю.
- Видаляйте облікові записи, коли люди йдуть. "Сплячі" облікові записи - поширена точка входу.
Адмін-доступ
Адмін-URL не повинні вгадуватися ззовні. Обмежуйте швидкість спроб входу, логуйте невдалі спроби та розгляньте додатковий рівень (allowlist IP або VPN) для високочутливих панелей.
Оновлення програмного забезпечення
Більшість публічних вразливостей виправляються швидко після розкриття; справжній ризик - запуск ПЗ, що не оновлювалося місяцями. Тримайте фреймворк, CMS, плагіни, середовище виконання та бібліотеки актуальними. Плануйте рутинні оновлення замість того, щоб робити їх лише після інциденту.
Безпечна обробка введення користувача
- Валідуйте на сервері, а не лише в браузері - будь-що, що надходить від клієнта, можна змінити.
- Використовуйте параметризовані запити або належний ORM для запобігання SQL-ін’єкціям.
- Коректно екрануйте вивід для запобігання міжсайтовому скриптингу (XSS).
- Обмежуйте, які файли користувачі можуть завантажувати і куди вони потрапляють.
- Обмежуйте швидкість форм та кінцевих точок, на які націлюються зловмисники (вхід, реєстрація, контакт).
Секрети та конфігурація
- Не закодовуйте жорстко паролі, API-ключі чи токени у вихідному коді.
- Тримайте їх у змінних середовища чи менеджері секретів, не закомічених у репозиторій.
- Ротуйте секрети, коли хтось іде, або після будь-якого інциденту.
Резервні копії та відновлення
Резервна копія не є резервною копією, доки вона не була відновлена. Регулярні, автоматизовані резервні копії суттєві, але так само суттєва й протестована процедура їх відновлення. Програми-вимагачі та випадкові видалення трапляються з кожним рано чи пізно.
Моніторинг та логи
Ви не можете реагувати на те, чого не бачите. Як мінімум, тримайте логи сервера, фіксуйте помилки застосунку та встановіть сповіщення на незвичні сплески відповідей 401/403/500. Саме так ви дізнаєтеся про атаку рано, а не постфактум.
Приватність та відповідність
- Збирайте лише ті дані, які вам справді потрібні.
- Майте чітку політику конфіденційності та згоду на файли cookie, що відображає реальність, а не шаблон, скопійований звідкись.
- Розумійте, які дані регульовані (платіжні, медичні, персональні дані за GDPR), і ставтеся до них відповідно.
Поширені помилки
- Аудити безпеки, що зупиняються на звіті. Висновки потребують виправлення та перевірки, а не лише архівування.
- "Ми надто малі, щоб бути ціллю". Більшість атак автоматизовані й шукають будь-яку незапатчену систему.
- Ставлення до паролів як до всієї історії. 2FA, оновлення, резервні копії та моніторинг важать більше, ніж правила складності паролів.
- Одна людина тримає всі ключі. Критичний доступ повинен мати резервного власника, чітко задокументованого.
