あなたのウェブサイトが顧客にとって安全であることを確認する6つの方法

すべてのWebサイトはセキュリティ違反を受ける可能性があり、サイトに価値のあるものがあるとは思わないかもしれませんが、これは、サイトが危険にさらされる機会がないことを意味するものではありません。 Webサイトのセキュリティ侵害の大部分は、サーバーをスパムの電子メールリレーとして使用しようとする試みであるため、Webサイトが安全であることを確認することが重要です。

安全なWebサイトがないと、ランサムウェアに見舞われたり、サーバーをボットネットの一部にしたり、違法な性質のファイルを提供したりする可能性があります。 発生するほとんどのハッキングは、セキュリティの脆弱性を悪用するためにインターネットを精査する自動化されたスクリプトによって実行されます。 ここにあなたのウェブサイトが顧客にとって安全であることを確認するための6つの方法があります。

1.XSS攻撃から保護する

XSS攻撃またはクロスサイトスクリプティングは、悪意のあるコード、つまりJavaScriptをページに挿入します。 これらはユーザーのブラウザにぶつかり、ページのコンテンツを変更したり、情報を盗んでハッカーに送り返したりする可能性があります。

これが発生する可能性のある1つの方法は、検証なしでページにコメントを表示する場合です。 攻撃者はこれを見て、すべてのユーザーのブラウザで実行され、ログインCookieを盗むことができるスクリプトタグとJavaScriptを含むコメントを送信できます。 これにより、攻撃者はコメントを表示したすべてのユーザーのアカウントを制御できるようになります。

これを防ぐには、ユーザーがアクティブなJavaScriptコンテンツをページに挿入できないようにする必要があります。 現在、ページは主に、AngularやEmberなどのフロントエンドフレームワークで解釈できるHTMLを生成するユーザーコンテンツから構築されています。 これらのフレームワークは多くのXSS保護を提供できますが、常にそうとは限りません。

サーバーとクライアントのレンダリングを組み合わせると、ハッカーのための新しく複雑な攻撃手段を作成できます。 あなたが焦点を合わせなければならないのは、ユーザー生成コンテンツがあなたが期待する範囲を超えて、あなたが意図していない方法でブラウザによって解釈される可能性があるということです。

HTMLを動的に生成するときにこれらの攻撃から保護するには、探している変更を明示的に行う関数を使用するか、生のHTMLコンテンツを設定するのではなく、適切なエスケープを自動的に実行する関数をテンプレートツールで使用します。

同様に考慮すべき強力なツールの1つは、コンテンツセキュリティポリシーまたはCSPです。 CSPは、サーバーが返すことができるヘッダーであり、ページで実行されるJavaScriptの方法と内容を制限するようにブラウザーに警告します。 これには、ドメインに関連付けられていないスクリプトの実行を拒否したり、インラインJavaScriptを禁止したりするなどが含まれます。