قائمة تحقق أمان الويب: دليل أمان شامل

OWASP Top 10

1. Broken Access Control: controles de autorización faltantes. los usuarios pueden acceder a recursos para los que no están autorizados.

2. Cryptographic Failures: datos sensibles no cifrados o cifrado débil utilizado.

3. Injection: inyección SQL، NoSQL، OS، LDAP. cuando la entrada del usuario se agrega directamente a la consulta.

4. Insecure Design: diseño con vulnerabilidades de seguridad. no se realizó threat modeling.

5. Security Misconfiguration: configuración por defecto، modo debug abierto، headers de seguridad faltantes.

6. Vulnerable Components: bibliotecas de terceros con vulnerabilidades de seguridad. dependencias desactualizadas.

7. Authentication Failures: política de contraseña débil، errores de gestión de sesión، sin protección contra brute force.

8. Software and Data Integrity Failures: seguridad del pipeline CI/CD، integridad de dependencias، deserialización insegura.

9. Security Logging Failures: logging insuficiente، sin monitoreo، sin plan de respuesta a incidentes.

10. SSRF (Server-Side Request Forgery): el servidor hace una solicitud a una URL controlada por el atacante.

Headers de seguridad

تضيف CSP حماية؛ وقد تضعفها unsafe-inline. استخدم nonce أو hash للسكربتات المطلوبة.

Strict-Transport-Security (HSTS): dice al navegador que solo se conecte vía HTTPS. max-age=31536000; includeSubDomains; preload.

X-Content-Type-Options: el valor nosniff deshabilita el MIME type sniffing.

X-Frame-Options: DENY o SAMEORIGIN. previene que la página se muestre en iframe (clickjacking).

Referrer-Policy: strict-origin-when-cross-origin. controla la información del referrer.

Permissions-Policy: controla las características del navegador como cámara، micrófono، geolocalización.

Autenticación y autorización

Política de contraseña: mínimo 8 caracteres، mayúsculas/minúsculas، número، carácter especial. hash de contraseña (bcrypt، Argon2).

Autenticación multifactor (MFA): 2FA o MFA obligatorio. TOTP (Google Authenticator)، SMS، hardware key (YubiKey).

Gestión de sesión: cookies Secure، HttpOnly، SameSite. timeout de sesión، límite de sesiones concurrentes.

JWT: token de acceso de corta duración (15 min) + token de refresh de larga duración (7 días). rotación de token.

OAuth 2.0 / OpenID Connect: autenticación de terceros. login con Google، GitHub، Apple.

RBAC: role-based access control. roles de usuario y permisos. principio de mínimo privilegio.

Validación y sanitización de entrada

Validación del lado del servidor: valide todas las entradas en el servidor. la validación del lado del cliente no es suficiente.

Prevención de SQL injection: use consultas parametrizadas / prepared statements. los ORMs (Prisma، SQLAlchemy) proporcionan protección automática.

Prevención de XSS: codificación de salida. escapado automático de React/Vue. textContent en lugar de innerHTML.

Prevención de CSRF: tokens CSRF. atributo de cookie SameSite. patrón de cookie de doble envío.

Seguridad de carga de archivos: control de tipo y tamaño de archivo. no dé permiso de ejecución en el directorio de carga. escaneo de virus.

Monitoreo y respuesta de seguridad

Logging: registre todos los eventos de autenticación، autorización y error. logging centralizado (ELK، Loki).

Monitoreo: detección de anomalías. intentos de login fallidos، patrones de tráfico inusuales، picos de tasa de error.

Plan de respuesta a incidentes: planifique cómo responder a incidentes de seguridad. runbooks، rutas de escalación.

Escaneo de vulnerabilidades: escaneo de seguridad regular. OWASP ZAP، Burp Suite، Snyk.

Pruebas de penetración: prueba de penetración profesional al menos una vez al año. informe de hallazgos y plan de corrección.

Lista de verificación de seguridad

✓ HTTPS activo en todas las páginas

✓ headers de seguridad (CSP، HSTS، X-Content-Type-Options، X-Frame-Options) configurados

✓ validación de entrada aplicada en todos los endpoints

✓ protección contra SQL injection (consultas parametrizadas)

✓ protección contra XSS (codificación de salida، CSP)

✓ protección contra CSRF (tokens، cookies SameSite)

✓ autenticación (MFA، política de contraseña fuerte)

✓ autorización (RBAC، mínimo privilegio)

✓ seguridad de dependencias (npm audit، Snyk)

✓ logging y monitoreo activos

✓ plan de backup y recuperación ante desastres

✓ plan de respuesta a incidentes

• MDN: Content Security Policy