أساسيات أمان الموقع: قائمة تحقق عملية للمطورين

ابدأ بتحديد الأصول والمخاطر

تختلف المخاطر حسب طبيعة الموقع والبيانات التي يعالجها. اجرد الحسابات والنماذج والتبعيات والخدمات الخارجية، وحدد أثر كشف البيانات أو تعديلها أو تعطيل الخدمة.

1. الاتصال والإعدادات

• استخدم HTTPS بإعداد TLS سليم وتجنب الموارد المختلطة غير الآمنة.
• أزل صفحات الاختبار ورسائل الخطأ التفصيلية من الإنتاج.
• راجع رؤوس الحماية مثل Content-Security-Policy وفق اختبار متأنٍ.
• لا تنسخ إعدادات جاهزة دون فهم أثرها على الموقع.

2. الأسرار والصلاحيات

• لا تضع كلمات المرور أو مفاتيح الخدمات الخاصة في JavaScript العام أو مستودع عام.
• استخدم مخزن أسرار أو متغيرات بيئة مناسبة ودوّر المفاتيح المكشوفة.
• امنح الحسابات أقل صلاحية لازمة وفعّل المصادقة متعددة العوامل للإدارة.
• ألغِ الوصول عند انتهاء الحاجة إليه.

3. المدخلات والجلسات

• تحقق من المدخلات على الخادم واستخدم الاستعلامات المعلّمة بدل تركيب SQL نصيًا.
• اهرب المخرجات وفق سياقها لتقليل مخاطر XSS.
• راجع إعدادات ملفات تعريف الارتباط وحماية CSRF عند الحاجة.
• طبّق حدودًا للمحاولات والطلبات حيث يناسب الخدمة.

4. التبعيات والنسخ الاحتياطية

• حدّث المكتبات وأزل الحزم غير المستخدمة وراجع تنبيهات الثغرات.
• احتفظ بنسخ احتياطية مشفرة ومحدودة الوصول واختبر استعادتها.
• راقب الأنشطة غير المعتادة دون تسجيل كلمات المرور أو الرموز السرية.
• جهّز خطة للاستجابة للحوادث واستعادة الخدمة.

متى تحتاج إلى مراجعة متخصصة؟

إذا كان الموقع يعالج مدفوعات أو بيانات حساسة أو حسابات عالية الصلاحية، فاستعن بمختص لتقييم مناسب. هذه القائمة بداية عملية وليست شهادة أمان أو بديلًا عن اختبار اختراق.

قائمة تحقق

• HTTPS والإعدادات الأساسية مفعلة.
• لا توجد أسرار في المستودع أو الواجهة العامة.
• الصلاحيات محدودة والتبعيات محدثة.
• المدخلات محمية والتحقق على الخادم موجود.
• النسخ الاحتياطية قابلة للاستعادة وخطة الاستجابة واضحة.

أدلة مرتبطة

راجع اختبار الموقع بعد التحديث وتدقيق جودة الموقع لإدراج الأمان ضمن دورة الجودة.