قائمة تحقق عملية لتطوير موقع آمن

التحقق في المتصفح خدمة للمستخدم لا ضابط أمني. فكل حقل يجب التحقق منه مجددًا على الخادم وفق قائمة سماح صريحة: النوع والطول والصيغة والمدى المتوقع. والوصول لقاعدة البيانات يتم عبر استعلامات مُعامَلة، ومحتوى المستخدم يُهرَّب عند العرض لا عند الإدخال.

الوصول الإداري هو أقصر طريق للاختراق الكامل. لذا فعّل المصادقة متعددة العوامل لكل حساب ذي صلاحية، واحذف الحسابات يوم مغادرة أصحابها، وامنح المحررين صلاحيات تحرير لا صلاحيات إدارة لمجرد أن ذلك أسرع في الإعداد.

اعتمد HTTPS في كل مكان مع HSTS، وسياسة محتوى تحدد المصادر التي تُحمَّل فعلًا، وكوكيز موسومة بـ Secure و HttpOnly و SameSite، وسياسات مُحكمة للإحالة والتأطير. هذه أسطر إعداد لا مشاريع، وتلغي فئات كاملة من الهجمات.

تتقادم الاعتماديات سريعًا. ونافذة تحديث شهرية، وفحص آلي للاعتماديات داخل خط البناء، ومسؤول مكتوب لكل موقع، تحوّل التحديثات إلى صيانة روتينية بدل عمل طارئ في منتصف الليل.