OWASP для небольшой компании: какие риски сайта закрывать первыми
Top 10 - карта типовых ошибок, а не экзамен. Для обычного сайта важны доступы, обновления, формы и чужие данные.
OWASP Top 10 пугает названием. Для небольшого сайта это короткий список мест, где веб-приложения ошибаются одинаково: контроль доступа, инъекции, старые компоненты, слабая конфигурация. Банком для этого быть не нужно. Форма заявки тоже точка входа.
Три фильтра до любого большого отчёта
- Обновить CMS, тему и плагины. Выключить то, чем никто не пользуется. Старый модуль форм - частая дверь.
- Проверить, не открывает ли смена id в адресе чужой заказ, чужой профиль или чужой файл.
- Посмотреть формы и загрузку файлов: типы, размер, куда файл попадает и кто его потом открывает.
Дальше уже имеет смысл говорить про заголовки, сессии и зависимости в своём коде. Лендинг на заказ выигрывает от тех же трёх фильтров: взломанная страница с редиректом на чужой магазин быстро теряет и доверие, и индекс. Безопасность здесь поддерживает SEO, а не спорит с ним.
Базовый аудит Lexora как раз про этот приоритет. Мы не пишем отчёт на сто страниц, если первые дыры закрываются обновлением и правами.
Связанные услуги Lexora
Нужен короткий список на первую неделю?
Проверим сайт и скажем, что закрыть до остального.