Как у вас с безопасностью форума? Быстрый чек-лист
 

Ребят, давайте соберём вместе простой список, который можно быстро пройти, чтобы не сливать форум из-за какой-то тупой пары дырок.

1. Обновления — самая элементарная вещь. Проверяете, чтобы движок и плагины были свежие? Старые версии — часто дыра.
2. Права на файлы — не должно быть 777 никуда без нужды. Часто забывают, а после — любые чужие скрипты могут лазить.
3. SQL-инъекции — хотя базовые фильтры сейчас почти у всех, стоит проверить формы на предмет неподходящего ввода.
4. XSS — смотрите, где могут залететь скрипты от юзеров. Форумы - классика для таких атак.
5. CSRF — актуально, если есть формы с важными действиями (смена пароля, настройки).
6. Логи и аварийные дампы — оставляете ли их в открытом доступе? Это фишка для лулзов.
7. HTTPS сейчас обязательный минимум — без него никто ничего серьёзного делать не будет.
8. Бэкапы — не «если», а «как часто» делаете и где храните?

В общем, не так сложно, но часто именно эти моменты забываются. У кого есть свои мерки или чек-листы — делитесь, интересно сравнить, насколько мы все в защите или наоборот.

По факту, главное — обновлять всё регулярно и не давать 777 на папки, где не надо. Ещё стоит следить, чтобы формы не пропускали лишний код, и чтоб HTTPS был включён — это теперь базовый минимум. Остальное уже из разряда привычек, но эти моменты реально часто утекают из виду.

Для меня главное — обновлять всё, не давать лишних прав и постоянно смотреть, что формы не пускают всякий код. HTTPS давно обязателен, а бэкапы всегда должны быть под рукой. Вроде просто, но без этого быстро может прилететь.

Тоже считаю, что обновления и права — это основа всего. Ещё добавлю, что иногда полезно заглядывать в логи, там можно быстро заметить подозрительные действия. И да, HTTPS без вариантов, он сейчас не только про безопасность, но и про доверие пользователей. Бэкапы — это как страховка, забыл сделать — потом можно сильно пожалеть. В остальном всё вроде как по делу, главное постоянно держать руку на пульсе.