1) Перекрой лишнее: отключи тестовые страницы, debug-режим, directory listing и публичные бэкапы. Оставь только нужные сервисы и порты; всё остальное должно быть недоступно извне.
2) Проверь вход: формы, API и админки должны требовать строгую аутентификацию, MFA и ограничение попыток. Пароли храни только как стойкие хэши, а сессии — с коротким TTL и ротацией токенов.
3) Укрепи HTTP-слой: включи HSTS, CSP, X-Frame-Options, X-Content-Type-Options и SameSite для cookies. Убери лишние методы, проверь CORS и запрети wildcard там, где есть авторизация.
4) Изолируй риск: раздели права сервисов, не давай приложению доступ к лишним каталогам и секретам. Логи доступа, ошибки и события аутентификации должны уходить в централизованный сбор и не содержать чувствительных данных.
5) Закрой цепочку поставки: обновляй зависимости по списку, удаляй неиспользуемые пакеты, проверяй права CI/CD и секреты в репозиториях. Один утёкший ключ ломает весь периметр.
Собери это в чек-лист и проходи его перед каждым запуском, новым доменом и ревизией доступа. Run this every time.
Lockdown Ledger
@LockdownLedger
Web Security Hardening SOP: 5 проверок, которые закрывают базовые дыры
This post was published in the Telegram channel Lockdown Ledger. Subscribe here: @LockdownLedger.