Практична технічна підтримка
Поняття про перевірку безпеки публічного веб-сайту
Використовувати спостережуваний доказ для вибору розумної наступної перевірки. Зелений значок у заголовку не може встановити, що весь веб- сайт є безпечним.
Останній перегляд:
Що ми можемо побачити
Перевірка безпеки веб- сайту читає одну публічну відповідь і інструкції щодо обробки сайту. Програма перевіряє остаточне з’ єднання, вибрані заголовки HTTP і обмежений набір посилань на ресурси, а також дії з формами у поверненому HTML. Програма не здійснює реєстрацію, не надсилає форми, не виконує скрипти веб- сайтів і не перевіряє експлойти.
HTTPS є необхідним доказом, а не висновком щодо безпеки
Перевірений сертифікат допомагає встановити зашифроване з’ єднання з запитаною назвою вузла. Зловмисний веб- сайт також може використовувати HTTPS. Наша перевірка не перевіряє налаштування TLS між протоколами, не визначає чесність оператора і не перевіряє приватні дані програми.
HSTS - це окрема інструкція переглядача, яка надає перевагу HTTPS після вивчення правила. Почніть з роботи з HTTPS, перш ніж додавати довгий час роботи HSTS. Включення піддоменів або запит на попереднє завантаження може вплинути на інші служби, окрім сторінки, яку ви редагуєте; не копіюйте правила, не перевіривши, чи охоплює воно ці служби.
Зв’ язати керування з його призначенням
| Контроль | Корисне питання |
|---|---|
| Правила безпеки вмісту | Чи обмежує правило кількість ресурсів, які дійсно потрібні програмі? Сама по собі присутність обмеження не означає, що воно блокує відповідну атаку. |
| Обмеження рамкування | Чи слід вбудовувати цю сторінку? Перегляньте CSP frame- ancestors і будь- який заголовок X- Frame- Options з огляду на цю мету. |
| ніс | Чи правильно обслуговуються типи ресурсів, з відповідною інструкцією переглядача щодо сканування MIME? |
| Правило посилання | Скільки інформації про адресу URL має отримувати призначення? Типові параметри переглядача, правила метаданих і окремі посилання також мають значення. |
| Правила прав доступу | Які можливості переглядача потрібні цій сторінці? Інструмент фотоапарата має зберігати права доступу, необхідні для роботи. |
Читання результатів змішаного вмісту у переглядачі
HTTP- зображення або місце призначення форми у HTTPS- документі варто вивчити. Деякі запити на ресурси можуть бути оновлені або заблоковані переглядачем. Наша перевірка не звантажує їх, не переглядає їх перенаправлення, не перевіряє CSS або не виконує створені скриптами запити. Відкрийте інструменти розробника вашої сторінки, щоб перевірити, що насправді відбувається, а потім перевірте важливі шляхи користувача.
Чому ми не можемо сертифікувати програмні латки
Публічне значення Сервер або X- Powered- By є декларацією. Його можна приховати, змінити, обслуговувати за допомогою проксі- сервера або зберегти після того, як постачальник виправить помилку. Прихування цього значення зменшує ризик розголошення, але не впливає на програмне забезпечення. Щоб оцінити пораду щодо PHP або додатка, перевірте встановлений пакунок, налаштування і рекомендації постачальника у вузла або адміністратора. Загальна публічна сторінка не може встановити, чи є вразливість з назвою або виправлена.
Використовувати процес вимірювання змін
- Перевірити, чи відповідь належить до запланованої сторінки, а не до виклику бота або вікна помилки.
- Перегляньте кожне спостереження з точки зору призначення сторінки.
- Внесіть одну зміну у налаштування перевірки і тестування навігації, форм, носія і зовнішніх інтеграцій.
- Переглянути звіти CSP, де це необхідно, перед застосуванням жорсткішої політики.
- Записати зміну і перевірити її знову. Зберігати латки, резервні копії і безпеку облікового запису як окремі завдання.
Перевірка позначає незавершене читання і не видає загальну оцінку « безпеки ». Чиста публічна відповідь може співіснувати з приватними помилками програми; відсутній необов’ язковий заголовок не є автоматично вразливістю.
Технічні посилання: Підручник MDN з CSP, HSTS, ніс і керування рамками.