Проверка сайта на безопасность: 7 главных дыр, через которые уводят данные

Подавляющее большинство резонансных инцидентов с утечками баз данных и компрометацией веб-сервисов происходят не из-за изощренных атак спецслужб или неизвестных 0-day уязвимостей. В 9 случаях из 10 злоумышленники проникают в инфраструктуру через элементарные огрехи конфигурации и архитектуры: забытые тестовые эндпоинты, открытые порты СУБД, небезопасные заголовки CORS или отсутствие параметризации SQL-запросов, эксплуатация которых занимает менее минуты.

Когда персональные данные клиентов или финансовые транзакции попадают в открытый доступ, бизнес мгновенно сталкивается с миллионными штрафами регуляторов, блокировками платежных шлюзов и катастрофической потерей доверия аудитории. Проведение точечного аудита по этим семи векторам риска — первоочередной шаг для любого веб-проекта перед запуском коммерческого трафика.

                  # Запрет доступа ко всем служебным файлам и репозиториям в Nginx
location ~* /\.(env|git|svn|htaccess|docker|aws) {
    deny all;
    access_log off;
    return 404;
}

location ~* \.(bak|config|sql|dump|old)$ {
    deny all;
    return 404;
}
                

                  // Безопасная настройка CORS со строгим белым списком доменов
import cors from 'cors';

const allowedOrigins = ['https://site-check.velar.plus', 'https://app.velar.plus'];

app.use(cors({
  origin: (origin, callback) => {
    if (!origin || allowedOrigins.includes(origin)) {
      callback(null, true);
    } else {
      callback(new Error('Заблокировано политикой CORS'));
    }
  },
  credentials: true,
  methods: ['GET', 'POST', 'PUT', 'DELETE'],
}));