Güvenlik denetimi ödemeden önce — kendimizin uygulayabileceği bir web sitesi güvenlik listesi var mı?

Tarayıcınızın geliştirici konsolunu açıp güvenlik sekmesine bakın ve ücretsiz başlık analiz araçlarıyla sitenizi taratın. Çıkan rapordaki eksik güvenlik başlıklarını sunucu konfigürasyonunuza eklemek sadece 30 dakikanızı alır ve raporun yarısını baştan eler.

Geçen yıl 3.200 sterlin ödeyip aldığımız sızma testi raporunda 11 bulgu vardı. Bunların 7 tanesi sunucudaki eksik başlıklar ve açık dizin listelemesiydi. O kontrolleri önceden yapsaydık denetim firmasını uygulamanın asıl ödeme akışındaki mantık hatalarını bulmaya zorlayabilirdik.

Hata sayfalarını mutlaka özelleştirin. Sunucunuz veya yazılımınız 500 hatası verdiğinde ekrana yığın izi (stack trace) ya da veritabanı sürümü dökülüyorsa saldırgana harita vermiş olursunuz. Üretim ortamında tüm hata ayrıntılarını kapatıp sadece genel bir hata kodu gösterin.

Kontrol listenize şunları da ekleyin: 1) Rezervasyon formlarında CSRF belirteçlerinin aktif olması. 2) robots.txt dosyasında gizli panel veya yedek dizinlerinin ifşa edilmemesi. 3) Sunucuda unutulmuş .zip, .sql veya .env gibi hassas konfigürasyon dosyalarının taranması.

Kendi listenizle temel hijyeni sağlarsınız ama bunu profesyonel testin alternatifi sanmayın. İş mantığı açıkları (örneğin başkasının rezervasyon id numarasını değiştirerek kaydını görme yetki aşımı) hiç bir otomatik listede çıkmaz. Listenizi yapın ama denetimi tamamen rafa kaldırmayın.

yedekleme sisteminizi de kontrol edin derim... güvenlik sadece saldırı anı deil; bi şeyler ters giderse 1 saat önceki temiz veriye dönebiliyor musuunuz ve o yedek başka bi izole sunucuda mı duruyor, bu çok kritik.

İngiltere'de faaliyet gösterdiğiniz icin kullanıcı verilerinin korunması doğrudan yasal sorumluluk doğurur. Yapacağınız temel kontrolleri bir iç güvenlik raporu haline getirip tarihlemeniz, olası bir veri güvenliği denetiminde kurumunuzun iyi niyetini ve proaktif yaklaşımını kanıtlar.

Gözünüz korkmasın, bu kontrolleri bi günde tamamlayabilirsiniz. En azından temel yapılandırmaları düzeltip firmaya öyle gidin; 'biz temel kontrolleri yaptık sizden sadece derin iş mantığı analizi istiyoruz' dediğinizde teklif fiyatını bile aşağı çekebilirler.

Ben de aynı kanıdayım. Yazılı olmayan her madde, ileride iki tarafın da farklı hatırladığı bir madde.

Yanlışım varsa düzeltin.

takipteyim.. ama kucuk olcekte ise yarayan cozzum buyuyunce cokuyor bunu gec ogrendim.

iki hafta boyuncca not tutmak altı aylık tahminden iyi sonuç veriyor. sonucu buraya yazarsanız başkalarına da faydası olur

Dikkat edilmesi gereken bi şey var. İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir.

Bunu tek başına yapmaya çalışmak en pahalı yol. valla kolay gelsin.

Yukarıdaki cevap işin özünü söylemiş. Bunu tek başına yapmaya çalışmak en pahalı yol.

Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek. Ben olsam bu yoldan giderdim.

Bu başlık arşivlik.

bi şeyi atlamayın: Bir sorunu fark etme süreeniz o sorunun maliyetini doğrudan belirliyor.

kendi durumunuz farkliiysa tabii degisir.

Bir sorum olacak, konudan sapmak istemem ama. Karar verirken en kötü senaryoyu da yazın, sadece iyisini değil.

Yanlışım varsa düzeltin.

geçen yıl neredeyse aynısını yaşadık.. sonra güvenli olmak mutlak deil; saldırıyı uğraşmaya dğeğmez hâle getirmek demek

basa turlu ypan varsa onu da merak ederim.

deneyeceğim.

Üç ayrı görüş çıktı, hepsi birbirini tamamlıyor. İzin ve kapsam yazılı değilse o test başlamasın.

Sonucu buraya yazarsanız başkalarına da faydası olur.