Ребята, часто вижу, как разработчики халтурят с безопасностью на мелких сайтах и блогах. Самое частое — забывают про фильтрацию пользовательского ввода, думают, что «у меня же только свои будут». Итог — кто-то умный легко вставляет XSS или SQL-инъекцию. Плюс куча проблем с неправильной обработкой сессий — куки незащищённые, токены не ротаются, CSRF-токены забывают ставить. Был случай, когда форма логина вообще без защиты капчи оставалась — и постоянно брутфорсят.

Проверяю веб-приложение обычно с базовым скриптом на попытку вставить "<script>" и простые ошибки в input-полях, а ещё онлайн-сервисы для малого теста типа securityheaders или ввожу свои payloadы. Если на этапе теста не отсекает — значит плохо прокачана защита.

Из того, что помогает — минимум фильтрации на стороне сервера, обязательно строгие Content Security Policy, защищённые куки с флагами HttpOnly и Secure. Ну и это понятно, но часто забывают фиксировать сессии при выходе или слишком длинные сессии делают — риск.

Приветствуется мнение, кто как ловит подобные типичные промахи у себя или клиентов? Может, кто-то какие нестандартные проверки делает, чтобы сразу понять, что сайт под угрозой?