Безопасность в веб-разработке и создании сайтов — чек лист

Безопасность в веб-разработке и создании сайтов очень актуальный вопрос. Взломы базы данных пользователей,  внедрения вредоносного кода, DDOS атака, все это может не только приостановить на работу сайта или приложения, но и нанести серьезный удар по имиджу бренда. В этом материале мы разберем основные способы, как повысить безопасность в веб-разработке и создании сайтов.

Публикация: 09.10.2017 Kirill Lipovoy CloudMakers CloudMakersru

Защита баз данных

1. Шифруйте все конфиденциальные данные пользователей, а также все данные необходимые для входа;
2. Шифруйте резервные копии баз данных;
3. Не используйте SQL-инъекции, работа с базами данных должна вестись только  через подготовленные SQL-запросы.

Обновление версий и разработка

1. На этапе разработки должны соблюдаться те же правила безопасности, что и в готовой версии;
2. Проверяйте на уязвимости до запуска обновления или релиза полного продукта;
3. Разработка обновлений должна вестись в защищенной и изолированной среде разработки;
4. Скрывайте версии программного обеспечения;
5. Запретите просмотр директорий в файловой системе;
6. Размещайте сайт только на VDS хостинг.

Идентификация пользователей

1. Безопасность в веб-разработке и создании сайтов во многом зависит от правил создания паролей для пользователей, создайте правила создания паролей с использование букв и цифр;
2. Хешируйте пароли при помощи криптографической функции;
3. Если работа сайта и приложения связанна с хранением конфиденциальной информации используйте многофакторную аутентификацию пользователей;
4. Защищайте форму ввода паролей от программ подбора.

Защита от DDoS-атак

1. Оптимизируете взаимодействие пользователя со запросами и генерации данных;
2.  Используйте серверное кэширование, кэшируйте тяжелые элементы сайта и обновляйте их при необходимости.

Работа с веб-трафиком

1. Безопасность в веб-разработке и создании сайтов во многом завит от применении TLS для всего сайта, а не только для форм входа;
2. Используйте только безопасные (secure) и httpOnly куки;
3. Обязательно обрабатывайте на сервере все HTTP-запросы для конвертации их в HTTPS, принудительно используйте на всем сайте TLS-протокол;
4. Используйте скрипты мониторинга;

Безопасность в веб-разработке и создании сайтов — резюме

Соблюдайте все вышеизложенные пункты, чтобы обеспечить максимальную защиту сайта для защиты от сторонних входов и кражи данных. Также не забивайте о постоянном резервном копировании. Резервные копии также нуждаются в защите, шифруйте их и храните на нескольких серверах.