Быстрая проверка безопасности сайта своими руками
 

Всем привет! Часто слышу, что проверки безопасности сайтов — это какой-то сложный процесс, но на самом деле можно быстро пробежаться по основным моментам и понять, где подправить. Вот что обычно смотрю:

1. Проверяю, включены ли заголовки безопасности — Content-Security-Policy, X-Frame-Options, X-Content-Type-Options. Если нет — шанс попасть под простейшие XSS или clickjacking.
2. Проверяю формы на защиту от SQL-инъекций — достаточно локально заменить важные параметры на кавычки и посмотреть реакцию (конечно, на своих тестах). Ошибка SQL или странные сообщения — плохой знак.
3. Чекаю, как обрабатываются пользовательские данные: если введённый текст иногда попадает в HTML без фильтра, есть XSS.
4. Проверяю, не светятся ли где-то в открытом доступе config-файлы, резервные копии, админка без защиты.
5. Отслеживаю, есть ли обновления CMS или используемых плагинов — старые версии частенько таят уязвимости.
6. Смотрю логи сервера — часто можно понять, кто и что пытается сделать.
7. Тестирую защиту от переборов паролей и нормальную работу CAPTCHA на формах с авторизацией.

Это базовый набор, который помогает быстро понять где затыки по безопасности. У кого какие ещё пункты или фишки в этой проверке?

Согласен, часто кажется, что проверка сайта — это что-то муторное, а на деле хватает пары простых тестов, чтобы понять, где дырки. Например, заголовки безопасности реально помогают с простыми атаками, и проверка форм на SQL-инъекции быстро выявляет слабые места. Логи тоже полезно смотрю — иногда сразу видно, кто пытается пнуть сайт. Главное — не забивать на обновления и базовые штуки, иначе потом сложно.

Я пока только пробую самому посмотреть, как сайт держится по безопасности. Накидываю простые проверки вроде запрета iframe, поисков config-файлов и смотрю, нет ли ошибок в формах при странных вводах. Вроде так можно быстро понять, что с сайтом не так, не залезая глубоко в код или сервер. Пока этого хватает, чтобы не допустить банальных дырок.