Der teuerste Sicherheitsfehler in der Webentwicklung ist, Sicherheit als Checkliste vor dem Release zu behandeln. Entscheidungen zu Authentifizierung, Autorisierung und Eingabevalidierung fallen in der Architektur. Jeder später ergänzte Patch bezahlt für eine frühere Entscheidung.
Gegen SQL-Injection verwenden Sie vorbereitete Anweisungen (Prepared Statements) und fügen Benutzereingaben niemals in den Abfragetext ein. Gegen XSS kodieren Sie die Ausgabe passend zum Kontext: HTML-Körper, Attribute und JavaScript brauchen jeweils eigene Regeln. Gegen CSRF prüfen Sie bei jeder zustandsändernden Anfrage ein Token. Session-Cookies erhalten die Attribute HttpOnly, Secure und SameSite. Passwörter und Token gehören nicht in Logdateien, und Abhängigkeiten sollten regelmäßig aktualisiert werden. Jeder dieser Schritte schließt eine andere Angriffsklasse; keiner ersetzt die anderen.
Planen Sie ein ähnliches Projekt?
Wir besprechen gern, wie sich das Thema des Artikels in Ihrem Produkt umsetzen lässt.
