Амнияти сайт: рӯйхати санҷиши 10 қадама
Рӯйхати амалӣ барои соҳиби сайт: HTTPS, сарлавҳаҳо, навсозиҳо, паролҳо, портҳои кушода, нусхаҳои эҳтиётӣ, ҳифзи почта ва ғайра.
Ин 10 қадам асоси амнияти сайтро ташкил медиҳад. Аксари онҳо дар чанд дақиқа иҷро мешаванд.
- 1. HTTPS дар ҳама ҷо ва равонкунии 301 аз HTTP ба HTTPS; сертификат худкор навсозӣ шавад.
- 2. HSTS фаъол аст (Strict-Transport-Security).
- 3. Сарлавҳаҳои амният: Content-Security-Policy, X-Frame-Options (ё frame-ancestors), X-Content-Type-Options: nosniff, Referrer-Policy.
- 4. CMS, плагинҳо, фреймворк ва нармафзори сервер мунтазам навсозӣ мешаванд.
- 5. Версияҳои сервер ва нармафзор дар сарлавҳаҳо ошкор намешаванд (server_tokens off, expose_php = Off).
- 6. Панели админ аз рӯи IP маҳдуд ё бо 2FA ҳифз шудааст; паролҳои қавӣ ва такроршаванда нест.
- 7. Пойгоҳҳои додаҳо, Redis, SSH, RDP ва хизматҳои монанд ба интернет кушода нестанд (паси firewall ё VPN).
- 8. Файлҳои .env, .git, нусхаҳои эҳтиётӣ (.sql, .zip) ва логҳо дар решаи сайт нестанд ё манъ шудаанд.
- 9. Дар cookie нишонҳои Secure, HttpOnly ва SameSite мавҷуданд.
- 10. Ҳифзи почта: SPF, DKIM, DMARC; нусхаҳои эҳтиётии мунтазам ва санҷиши барқарорсозӣ.
Иловагӣ
- Субдоменҳои истифоданашавандаро аз DNS нест кунед (хатари subdomain takeover).
- Маълумоти алоқа оид ба амниятро дар файли /.well-known/security.txt нашр кунед.
Қисми зиёди ин рӯйхатро SecScan худкор месанҷад ва чӣ намерасад, аз рӯи афзалият нишон медиҳад.