Краткий конспект на тему Учет понятия об информационной безопасности при создании комплексных информационных объектов в виде веб-страниц

Конспект: информационная безопасность при создании веб-страниц

Информационная безопасность сайта — защита самого сайта, его данных и посетителей от взлома, утечек и вредоносного кода.

Основные угрозы:

• XSS — внедрение чужого скрипта через формы, комментарии, поля ввода;
• SQL-инъекции — подстановка команд в запрос к базе данных;
• кража данных форм (логины, пароли), фишинг, подмена контента;
• вредоносные файлы, загруженные пользователем.

Правила защиты:

1. Не доверять вводу пользователя: проверять данные на сервере и экранировать HTML-символы.
2. Использовать HTTPS для шифрования трафика.
3. Пароли хранить только в виде хешей с солью, не в открытом виде.
4. Не оставлять в коде страницы пароли, ключи и пути к базе данных.
5. Принцип минимальных прав: у скриптов и пользователей — только нужный доступ.
6. Регулярно обновлять CMS, плагины и ПО, делать резервные копии.
7. Проверять загружаемые файлы по типу и размеру, хранить их вне корня сайта.
8. Ставить капчу и ограничение попыток входа против автоматических атак.
9. Соблюдать закон о персональных данных: собирать только необходимое, публиковать политику конфиденциальности.

Главный принцип: любой создаваемый объект (страница, форма, галерея) проектируется с учётом того, как его можно использовать неправильно.