قبل ما ندفع لفحص أمني — هل فيه قائمة فحص لأمان المواقع نقدر نطبقها بنفسنا؟

افتح الـ developer console في المتصفح وشوف الـ security tab، وافحص موقعك بأدوات تحليل الـ headers المجانية. إضافة ترويسات الأمان الناقصة لإعدادات السيرفر مش هتاخد منك أكتر من 30 دقيقة وهتشيل نص الملاحظات من التقرير من البداية.

السنة اللي فاتت دفعنا 3.200 جنيه إسترليني على اختبار اختراق وطلع فيه 11 ثغرة، منهم 7 كانوا مجرد ترويسات ناقصة وتصفح مجلدات مفتوح على السيرفر. لو كنا عملنا الفحص ده بنفسنا الأول، كنا أجبرنا الشركة تركز على أخطاء المنطق البرمجي في مسار الدفع نفسه.

خصصوا صفحات الأخطاء ضروري. لو السيرفر أو الكود رجّع خطأ 500 وظهر على الشاشة stack trace أو إصدار قاعدة البيانات، فأنتم بتدوا المهاجم خريطة للموقع. في بيئة الإنتاج اقفلوا كل تفاصيل الأخطاء واعرضوا كود خطأ عام بس.

ضيفوا النقط دي كمان لقائمتكم: 1) تفعيل رموز CSRF في نماذج الحجز. 2) التأكد إن ملف robots.txt مش بيكشف لوحات تحكم سرية أو مسارات النسخ الاحتياطية. 3) فحص السيرفر للتأكد من عدم وجود ملفات حساسة منسية زي .zip أو .sql أو .env.

قائمتكم هتحقق الحد الأدنى من الأمان، بس متعتبروهاش بديل للفحص الاحترافي. ثغرات منطق العمل (زي إن مستخدم يغير رقم الـ ID بتاع الحجز ويشوف حجز حد تاني) مش بتظهر بأي قائمة فحص تلقائية. اعملوا القائمة بس متلغوش الفحص تماماً.

شيكوا كمان على نظام النسخ الاحتياطي. الأمان مش بس وقت الهجوم؛ لو حصلت مشكلة هل تقدروا ترجعوا لنسخة نظيفة من ساعة فاتت؟ وهل النسخة دي في سيرفر معزول؟ دي نقطة حرجة جداً.

بما إنكم شغالين في بريطانيا، فحماية بيانات المستخدمين مسؤولية قانونية مباشرة. توثيق الفحوصات الأساسية دي في تقرير أمان داخلي مؤرخ هيثبت حسن نيتكم ونهجكم الاستباقي في حال حصل أي تدقيق على أمان البيانات.

متقلقوش، الفحوصات دي تخلص في يوم واحد. صلحوا الإعدادات الأساسية الأول وبعدين روحوا للشركة؛ لما تقولوا لهم 'إحنا عملنا الفحوصات الأساسية وعايزينكم تركزوا على منطق العمل بس'، ممكن حتى ينزلوا لكم في السعر.

أنا أيضًا أوافق على هذا الرأي. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

صححوا لي إن أخطأت.

أتابع الموضوع. يعني الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

هناك شيء يجب الانتباه إليه. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

محاولة فعل هذا بمفردك هي أغلى الطرق. بالتوفيق.

الإجابة أعلاه لخصت جوهر الأمر. محاولة فعل هذا بمفردك هي أغلى الطرق.

إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا. لو كنت مكانك، لسلك هذا المسار.

هذا العنوان مؤرشف.

لا تتجاهل شيئاً: وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

لدي سؤال، ولا أريد الخروج عن صلب الموضوع. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

صححوا لي إن أخطأت.

عشنا تقريباً نفس التجربة العام الماضي. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

سأجرب ذلك.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.