Как быстро пробежаться по безопасности сайта перед запуском
 

Короче, ребята, у меня недавно была задача проверить свой проект на базовую безопасность — чтобы не светить фортунку на входе и админке. Без всяких заморочек и глубокой пентестовой рутины, просто что реально стоит глянуть перед выкладкой.

Первое — обновления. Да, банально, но 90% дыр из-за старых версий движка, плагинов и библиотек. Если качаете готовый движок — смотрите, чтобы ровно всё самое свежее было. Не нужно ждать суперпатча, он должен быть уже в деле.

Второе — права на файлы и папки. Правильно выставленные chmod — залог того, что никто просто так не сможет залить шелл или взять файлы с сервера. Особенно опасны папки с загрузками и конфиги.

Дальше — формы. Где есть форма входа, регистрации или комментирования, обязательно фильтры на ввод, капчи, ограничение по количеству попыток. Простые советы, но реально творят чудеса.

Ну и базовые заголовки безопасности — Content-Security-Policy, X-Frame-Options, HSTS. Сейчас браузеры требуют, чтобы сайт «говорил» что к чему, иначе открываешь дверь для редиректов и прочих неприятностей.

Не забывайте про резервные копии и логирование — безопасный сайт должен уметь восстановиться быстро и без сюрпризов.

Вот так — не пентест, но чтобы себя не подвели. Как вы делаете минималку по безопасности? Есть что добавить?

Хаха, вроде бы всё просто, а сколько потом гемора! Особенно с правами на файлы — казалось бы, пару цифр поменял и живи спокойно, а потом бэкап не сделали, и пфф, «всё пропало». Капчи и лимит попыток — мастхэв, иначе боты быстро свалят в админку. Вся эта минималка — как защита велосипеда в подземном паркинге, не идеал, но хоть что-то.

Ага, раньше рубились по безопасности как могли — ставили что первый пришло, думали “ну, погорим, зато сайт живой”. Сейчас, конечно, без обновлений и правильных прав на файлы никуда, иначе быстро нахватаешь сюрпризов. Капчи и лимит — да, это уже как подстраховка, чтобы боты не устроили тут бардак с первого дня. Главное не забыть бэкапы, а то потом плакали.