Checklist di Sicurezza Web: Guida alla Sicurezza Completa

OWASP Top 10

1. Broken Access Control: Controlli di autorizzazione mancanti. Gli utenti possono accedere a risorse per cui non sono autorizzati.

2. Cryptographic Failures: Dati sensibili non crittografati o crittografia debole utilizzata.

3. Injection: Iniezione SQL, NoSQL, OS, LDAP. Quando l'input dell'utente viene aggiunto direttamente alla query.

4. Insecure Design: Design con vulnerabilità di sicurezza. Nessun threat modeling effettuato.

5. Security Misconfiguration: Impostazioni predefinite, modalità debug aperta, header di sicurezza mancanti.

6. Vulnerable Components: Librerie di terze parti con vulnerabilità di sicurezza. Dipendenze obsolete.

7. Authentication Failures: Politica delle password debole, errori di gestione della sessione, nessuna protezione brute force.

8. Software and Data Integrity Failures: Sicurezza del pipeline CI/CD, integrità delle dipendenze, deserializzazione non sicura.

9. Security Logging Failures: Logging insufficiente, nessun monitoraggio, nessun piano di risposta agli incidenti.

10. SSRF (Server-Side Request Forgery): Il server fa una richiesta a un URL controllato dall'attaccante.

Header di Sicurezza

CSP aggiunge protezione; unsafe-inline può indebolirla. Usa nonce o hash per gli script necessari.

Strict-Transport-Security (HSTS): Dice al browser di connettersi solo via HTTPS. max-age=31536000; includeSubDomains; preload.

X-Content-Type-Options: Il valore nosniff disabilita il MIME type sniffing.

X-Frame-Options: DENY o SAMEORIGIN. Previene che la pagina venga visualizzata in iframe (clickjacking).

Referrer-Policy: strict-origin-when-cross-origin. Controlla le informazioni del referrer.

Permissions-Policy: Controlla le funzionalità del browser come fotocamera, microfono, geolocalizzazione.

Autenticazione e Autorizzazione

Politica delle password: Minimo 8 caratteri, maiuscole/minuscole, numero, carattere speciale. Hashing della password (bcrypt, Argon2).

Autenticazione multifattore (MFA): 2FA o MFA obbligatorio. TOTP (Google Authenticator), SMS, chiave hardware (YubiKey).

Gestione della sessione: Cookie Secure, HttpOnly, SameSite. Timeout della sessione, limite di sessioni concorrenti.

JWT: Token di accesso di breve durata (15 min) + token di refresh di lunga durata (7 giorni). Rotazione del token.

OAuth 2.0 / OpenID Connect: Autenticazione di terze parti. Login con Google, GitHub, Apple.

RBAC: Role-Based Access Control. Ruoli utente e permessi. Principio del minimo privilegio.

Validazione e Sanitizzazione dell'Input

Validazione lato server: Validate tutti gli input lato server. La validazione lato client non è sufficiente.

Prevenzione dell'iniezione SQL: Usate query parametrizzate / prepared statements. Gli ORM (Prisma, SQLAlchemy) forniscono protezione automatica.

Prevenzione XSS: Codifica dell'output. Escaping automatico di React/Vue. textContent invece di innerHTML.

Prevenzione CSRF: Token CSRF. Attributo di cookie SameSite. Pattern di cookie double submit.

Sicurezza del caricamento file: Controllo del tipo e della dimensione del file. Non date il permesso di esecuzione nella directory di upload. Scansione virus.

Monitoraggio e Risposta di Sicurezza

Logging: Loggate tutti gli eventi di autenticazione, autorizzazione ed errore. Logging centralizzato (ELK, Loki).

Monitoraggio: Rilevamento delle anomalie. Tentativi di login falliti, pattern di traffico insoliti, picchi del tasso di errore.

Piano di risposta agli incidenti: Pianificate come rispondere agli incidenti di sicurezza. Runbook, percorsi di escalation.

Scansione delle vulnerabilità: Scansione di sicurezza regolare. OWASP ZAP, Burp Suite, Snyk.

Test di penetrazione: Test di penetrazione professionale almeno una volta all'anno. Rapporto dei risultati e piano di correzione.

Checklist di Sicurezza

✓ HTTPS attivo su tutte le pagine

✓ Header di sicurezza (CSP, HSTS, X-Content-Type-Options, X-Frame-Options) configurati

✓ Validazione dell'input applicata su tutti gli endpoint

✓ Protezione contro l'iniezione SQL (query parametrizzate)

✓ Protezione contro XSS (codifica dell'output, CSP)

✓ Protezione contro CSRF (token, cookie SameSite)

✓ Autenticazione (MFA, politica delle password forti)

✓ Autorizzazione (RBAC, minimo privilegio)

✓ Sicurezza delle dipendenze (npm audit, Snyk)

✓ Logging e monitoraggio attivi

✓ Piano di backup e disaster recovery

✓ Piano di risposta agli incidenti

• MDN: Content Security Policy