Как быстро проверить базовую безопасность сайта?
 

Всем привет! Кто сейчас занимается защитой своих проектов, подскажите, с чего обычно начинаете базовую проверку сайта? У меня есть своя мини-рутина, которую пробую прогонять на каждом обновлении — на всякий случай. Смотрю, закрыты ли данные директории, не валится ли сайт на старых версиях CMS и плагинов, проверяю права на папки (чтобы 777 не светились). Ещё обязательно гляжу заголовки ответа сервера — чтобы не отдавал лишнюю информацию о системе. Пару раз ловил баги благодаря простым скриптам для проверки на XSS и инъекции, без запуска всяких «тяжёлых» сканеров — просто руками и с curl.

Ещё крутится в голове идея сделать чек-лист с самыми нужными элементами вроде CSRF-токенов, безопасности форм, Content Security Policy и отключения ненужных скриптов. Кто что добавляет в свою проверку? Много всяких сервисов сейчас есть, часть запускаю, часть тормозит, поэтому хочется держать голову над простым списком. Может, поделитесь своими must-have пунктами для быстрого аудита перед выкатыванием?

Ну, твоя рутина уже неплоха — видать, по-настоящему шаришь, а не на коленке штампуешь! Я обычно просто прогоняю пару простых скриптов для самых банальных дырок и смотрю, нет ли где 777, чтобы не светиться перед всеми. Главное — не засиживаться с миллионными сканерами, которые больше мешают, чем помогают. В общем, твой чек-лист — звучит как план для нормальной защиты.

Ну чек-лист — это, конечно, нормально, но мне кажется, что в реале толку от таких «минимальных» проверок не очень много. Если хочешь действительно защитить сайт, одной лишь ревизии прав и скриптов явно мало. Вся эта рутина вроде «curl + простые скрипты» скорее для профилактики, чем для полноценного аудита. В итоге много важных вещей можно просто пропустить.

Ну, короче, базовая проверка — это как утренний кофе: без неё жизнь не начнётся, но одной чашкой далеко не уедешь. Смирись, что мелкие сканеры и права — это только начало, а весь кайф настоящего аудита — в копании после. Главное — не забивать на банальные вещи вроде 777 и лишних заголовков, а дальше уже по обстоятельствам. Время — лучший учитель в безопасности, никто сразу в чемпионаты не выйдет.