1. Ограничь поверхность атаки: закрой лишние панели, отключи тестовые endpoints, убери directory listing, запрети доступ к админке по IP или через VPN.
2. Проверь заголовки ответа: CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy. Если заголовка нет — добавь его на уровне веб-сервера.
3. Валидируй входы и сессии: все формы, параметры URL и загрузки файлов должны проходить server-side проверку; cookies — с HttpOnly, Secure и SameSite.
4. Раздели права: отдельные учётки для deploy, админки и БД; принцип минимальных привилегий; секреты храни вне кода и не дублируй в конфиге на диске 🔒
5. Включи базовые защиты от перебора и ботов: rate limit, lockout по ошибкам, CAPTCHA только после сигнала риска, логирование подозрительных попыток.
6. Настрой наблюдаемость: логи входов, ошибок, изменений прав и загрузок файлов; алерты на необычные запросы, 5xx и резкий рост POST.
Проверь этот список на каждом новом домене и после любого изменения маршрутов, форм или ролей. Run this every time.
Lockdown Ledger
@LockdownLedger
Web Security Hardening SOP: 7 проверок до публикации сайта
This post was published in the Telegram channel Lockdown Ledger. Subscribe here: @LockdownLedger.