Web güvenliğinde en pahalı hata, güvenliği yayından önceki son kontrol listesi olarak görmektir. Kimlik doğrulama, yetkilendirme ve girdi doğrulama kararları mimari aşamada alınır. Sonradan eklenen her yama, önceki bir kararın bedelini öder.
SQL injection için sorgularda hazırlanmış ifadeler (prepared statements) kullanın; kullanıcı girdisini asla sorgu metnine birleştirmeyin. XSS için çıktıyı bağlamına göre kaçışlayın, çünkü HTML gövdesi, öznitelik ve JavaScript için aynı kural geçerli değildir. CSRF'ye karşı durum değiştiren her istekte bir belirteci (token) doğrulayın. Oturum çerezlerine HttpOnly, Secure ve SameSite özniteliklerini verin. Hata günlüklerine parola ve belirteç yazmayın, bağımlılıkları düzenli olarak güncelleyin. Bu adımların her biri ayrı bir saldırı sınıfını kapatır; hiçbiri diğerinin yerini tutmaz.
Benzer bir proje mi planlıyorsunuz?
Yazıda anlatılan konunun sizin ürününüzde nasıl karşılık bulacağını birlikte değerlendirebiliriz.
