امنیت پایهٔ وب‌سایت: هفت عادت که از دردسر جلوگیری می‌کنند
امنیت فقط مسئلهٔ شرکت‌های بزرگ نیست. یک سایت شخصی هم ممکن است به‌خاطر رمز تکراری، توکن افشاشده یا نرم‌افزار قدیمی آسیب ببیند. چند عادت منظم ریسک را به شکل محسوسی کم می‌کند.
۱. رمزها و ورود دومرحله‌ای
برای حساب‌های میزبانی، دامنه و مخزن کد از رمزهای منحصربه‌فرد و مدیر رمز استفاده کنید. ورود دومرحله‌ای را فعال کنید و کدهای بازیابی را در محل امن نگه دارید. پیامک همیشه بهترین عامل دوم نیست؛ هرجا ممکن است از برنامهٔ احراز هویت یا کلید امنیتی استفاده کنید.
۲. کلیدها را از کد جدا کنید
توکن API، رمز پایگاه داده و کلید خصوصی نباید داخل مخزن یا فایل‌های قابل انتشار قرار بگیرند. از متغیر محیطی و secret manager استفاده کنید. اگر کلیدی اشتباهاً منتشر شد، صرفاً حذف‌کردن آن از فایل کافی نیست؛ باید آن را باطل و جایگزین کنید.
۳. وابستگی‌ها را به‌روز نگه دارید
بسته‌های قدیمی می‌توانند آسیب‌پذیری شناخته‌شده داشته باشند. به‌روزرسانی را با بررسی تغییرات و آزمایش انجام دهید؛ به‌خصوص به‌روزرسانی‌های امنیتی را عقب نیندازید. از نصب کتابخانه‌های ناشناس و غیرضروری پرهیز کنید.
۴. دسترسی را محدود کنید
هر حساب و سرویس فقط باید دسترسی لازم برای کارش را داشته باشد. دسترسی مدیریتی را برای استفادهٔ روزمره به‌کار نبرید و توکن‌های قدیمی یا بلااستفاده را لغو کنید. اصل حداقل دسترسی، اثر خطای انسانی را هم کاهش می‌دهد.
۵. نسخهٔ پشتیبان را واقعاً آزمایش کنید
داشتن فایل backup کافی نیست. نسخهٔ پشتیبان باید جدا از محیط اصلی نگهداری شود و هر از گاهی بازیابی آن را آزمایش کنید. زمان آخرین پشتیبان و مدت لازم برای بازگردانی را بدانید.
۶. HTTPS و تنظیمات امن
برای سایت عمومی HTTPS را اجباری کنید و از بارگذاری منابع ناامن در صفحهٔ امن جلوگیری کنید. در برنامه‌های تعاملی، اعتبارسنجی ورودی، کنترل دسترسی سمت سرور و خروجی‌گذاری امن را جدی بگیرید؛ مخفی‌کردن یک دکمه جای کنترل دسترسی واقعی نیست.
۷. برای رخداد آماده باشید
بدانید در صورت مشاهدهٔ فعالیت مشکوک چه کسی را مطلع می‌کنید، کدام کلیدها را لغو می‌کنید و از کجا نسخهٔ سالم را بازمی‌گردانید. ثبت رخدادها بدون ذخیرهٔ رمزها و داده‌های حساس به تشخیص مشکل کمک می‌کند.