وابستگیها، CMS، افزونهها و سیستمعامل را بهموقع و از منبع معتبر بهروز کنید.

چکلیست دفاعی برای کاهش ریسک دسترسی غیرمجاز، افشای داده و اختلال در سرویس وب. وابستگیها، CMS، افزونهها و سیستمعامل را بهموقع و از منبع معتبر بهروز کنید. برای همه حسابها رمز یکتا و احراز هویت چندمرحلهای فعال کنید. دسترسی کاربران را بر اساس اصل حداقل اختیار محدود و دورهای بازبینی کنید. از این صفحه بهعنوان مرجع سریع استفاده کنید و مثالها و نکتهها را با نسخهٔ ابزار، نیاز و شرایط واقعی پروژهٔ خود تطبیق دهید.
وابستگیها، CMS، افزونهها و سیستمعامل را بهموقع و از منبع معتبر بهروز کنید.
برای همه حسابها رمز یکتا و احراز هویت چندمرحلهای فعال کنید.
دسترسی کاربران را بر اساس اصل حداقل اختیار محدود و دورهای بازبینی کنید.
HTTPS را اجباری کنید و گواهی TLS و تمدید آن را پایش کنید.
ورودیها را اعتبارسنجی کنید و خروجی را در محل استفاده متناسب با context ایمن کنید.
از کوئریهای پارامتری و APIهای امن استفاده کنید؛ داده حساس را در log ننویسید.
کلیدها و رمزها را خارج از مخزن کد نگه دارید و در صورت افشا تعویض کنید.
پشتیبان رمزگذاریشده بگیرید و بازیابی آن را بهصورت دورهای آزمایش کنید.
هدرهای امنیتی، محدودیت درخواست و تنظیمات CORS را متناسب با کاربرد بررسی کنید.
ثبت رویداد، هشداردهی، برنامه پاسخ به رخداد و مسیر گزارش آسیبپذیری داشته باشید.
برای فرمها و نشستها کنترل CSRF، cookieهای HttpOnly و Secure و سیاست SameSite را متناسب با معماری تنظیم کنید.
HttpOnlySecureSameSiteگزارش آسیبپذیری را با محدودهٔ مجاز، راه تماس و فرایند رسیدگی روشن منتشر کنید؛ آزمایش خارج از مجوز انجام ندهید.