Базовые шаги для проверки уязвимостей на сайте — что реально важно?
 

Короче, делюсь списком того, что всегда прогоняю при настройке защиты портала. Без воды и сложных терминов:

1. Проверка обновлений CMS, плагинов и тем — часто забывают, а там и дырки сидят.
2. Правильные права на файлы и папки — не должно быть 777.
3. SSL-сертификат и принудительный редирект с http на https — базовый минимум.
4. Защита форм от спама и инъекций (типо CSRF и XSS) — стоит хотя бы минимально фильтры поставить.
5. Логирование и мониторинг подозрительной активности — если что произойдет, чтобы понимать что и когда.
6. Ограничение количества попыток входа — чтобы банить тех, кто пытается подобрать пароль.
7. Использование заголовков безопасности (Content-Security-Policy, X-Frame-Options) — не факт, что спасёт, но лучше настроить.
8. Резервные копии и возможность быстро откатиться — на всякий пожарный.

Проверяю по списку обычно за полчаса, много времени не занимает. Инструменты тут не особо нужны, можно руками быстро пробежаться.

Кто как проверяет уязвимости в своих проектах? Есть что добавить или что совсем не стоит заморачиваться?

Как по мне, самое главное — не забывать про обновления и права на файлы, а остальное уже можно подтянуть потихоньку. Ну и логирование — реально спасает, когда что-то вдруг бахнет. Раньше такого всего не было, бабки в очереди стояли, а теперь всё стало проще и понятно, главное вовремя проверять.

Вроде бы всё правильно, но на самом деле список слишком общий. Всё это полезно, но без нормального сканера уязвимостей и проверки конфигов сайты всё равно будут висеть с дырками. Обновления и права — это конечно важно, но этого мало, чтобы реально защититься. Логирование – да, помогает, но если не умеешь быстро реагировать, толку мало. Так что просто бегать по чеклисту — это не всегда реально.