أمان تطبيق الويب: قائمة تحقق عملية

قد يسبب حساب منسي أو كلمة مرور مشتركة أو نسخة احتياطية مكشوفة خطراً مهماً. تساعد هذه القائمة على تنظيم الفحص، ولا تستبدل تقييماً يناسب تطبيقك.

الحسابات والصلاحيات

• استخدم حسابات فردية للأشخاص الذين يديرون الأدوات.
• فعّل المصادقة متعددة العوامل للبريد والاستضافة والإدارة.
• ألغِ الوصول غير الضروري عند مغادرة موظف أو مورد.
• امنح صلاحيات الإدارة لمن يحتاجها وراجعها دورياً.
• غيّر بيانات الدخول الافتراضية واحفظ الأسرار خارج الكود العام.

البيانات والنسخ الاحتياطية

• احمِ البيانات أثناء النقل والتخزين وفق حساسيتها.
• وثّق أماكن الحفظ والصلاحيات والمدد.
• شفّر النسخ الحساسة واختبر استعادتها.
• استخدم بيانات وهمية أو مجهّلة بصورة صحيحة للاختبارات.
• اجمع المعلومات اللازمة للعمل المحدد فقط.

سلوك التطبيق

• تحقق من المدخلات على الخادم حتى لو تحقق منها المتصفح.
• افحص الصلاحيات لكل عملية محمية؛ إخفاء الزر لا يكفي.
• لا تعرض المسارات الداخلية أو تفاصيل الأخطاء الحساسة أو الأسرار للمستخدم.
• تابع ثغرات المكتبات وطبّق الإصلاحات المناسبة.
• قيّد الملفات المرفوعة بالنوع والحجم، وافحص المحتوى وامنع التنفيذ. اعزل التخزين بحسب بنية التطبيق.

التشغيل والحوادث

احفظ آثار العمليات المهمة في مكان محمي. لا تسجل بيانات شخصية أو أسراراً دون حاجة. حدد من يتدخل عند الحادث وكيف يوقف الخدمة أو يستعيدها أو يستأنفها.

ضع جدولاً للتحديثات، واستخدم حسابات فردية للبنية التقنية، ووثّق إلغاء الصلاحيات.

ثلاث أولويات للبداية

1. فعّل المصادقة متعددة العوامل للحسابات التي تتحكم بالنطاق والبريد والاستضافة.
2. استعد نسخة احتياطية في بيئة معزولة وتحقق من البيانات.
3. احذف الحسابات والصلاحيات التي لم تعد مبررة.

تقلل هذه الإجراءات بعض المخاطر، لكنها لا تضمن عدم وقوع حادث. تختلف التكلفة والمدة بحسب البيئة.

جعل الأمان ممارسة مستمرة

عيّن مسؤولاً وموعداً ودليلاً للتحقق من كل ضابط. أعد تقييم المخاطر عندما يتغير التطبيق أو الموردون أو الاستخدام. التدقيق مفيد، لكن الفحوص اليومية يجب أن تستمر بعده.