Sayt xavfsizligi: 10 qadamli tekshiruv ro'yxati
Veb-sayt egasi uchun amaliy ro'yxat: HTTPS, header'lar, yangilanishlar, parollar, ochiq portlar, zaxira nusxalar, email himoyasi va boshqalar.
Quyidagi 10 qadam sayt xavfsizligining asosini tashkil qiladi. Ularning ko'pi bir necha daqiqada bajariladi.
- 1. HTTPS hamma joyda va HTTP dan HTTPS ga 301 yo'naltirish; sertifikat avto-yangilansin.
- 2. HSTS yoqilgan (Strict-Transport-Security).
- 3. Xavfsizlik header'lari: Content-Security-Policy, X-Frame-Options (yoki frame-ancestors), X-Content-Type-Options: nosniff, Referrer-Policy.
- 4. CMS, plaginlar, freymvork va server dasturlari muntazam yangilanadi.
- 5. Server va dastur versiyalari header'larda ko'rsatilmaydi (server_tokens off, expose_php = Off).
- 6. Admin panel IP bo'yicha cheklangan yoki 2FA bilan himoyalangan; kuchli, takrorlanmaydigan parollar.
- 7. Ma'lumotlar bazasi, Redis, SSH, RDP kabi xizmatlar internetga ochiq emas (firewall yoki VPN ortida).
- 8. .env, .git, zaxira (.sql, .zip) va log fayllar veb-ildizda yo'q yoki taqiqlangan.
- 9. Cookie'larda Secure, HttpOnly va SameSite belgilari bor.
- 10. Email himoyasi: SPF, DKIM, DMARC; muntazam zaxira nusxalar va ularni tiklab ko'rish.
Qo'shimcha
- Ishlatilmayotgan subdomenlarni DNS dan o'chiring (subdomain takeover xavfi).
- /.well-known/security.txt faylida xavfsizlik bo'yicha aloqa ma'lumotini e'lon qiling.
Bu ro'yxatning ko'pini SecScan avtomatik tekshiradi va nima yetishmasligini ustuvorlik tartibida ko'rsatadi.