Chrání kód na straně klienta, logiku na straně serveru, relace, data, rozhraní a podpůrnou konfiguraci před neoprávněným přístupem, nebezpečnou interpretací vstupu, zneužitím důvěry prohlížeče a dalšími selháními aplikační vrstvy. Rozsah zahrnuje návrh, implementaci, nasazení, testování, monitorování a nápravu — nikoli pouze perimetrové filtrování.
Webové aplikace překračují několik hranic důvěry: prohlížeč–server, jeden origin k druhému, aplikace–datové úložiště, služba–služba a kód–obsah třetích stran. Zabezpečení závisí na zachování těchto hranic při uplatňování autorizace a obchodních pravidel na každou citlivou akci.
Klíčové body
Základní kontrolyPoužívejte bezpečné zacházení s relacemi, autorizaci na straně serveru, zpracování vstupu a výstupu vhodné kontextu, chráněný transport, bezpečné chování při chybách, nejmenší oprávnění a řízenou integraci se závislostmi.
Návrh s povědomím o prohlížečiZohledněte originy, cookies, framing, navigaci, provádění skriptů, načítání obsahu, úložiště na straně klienta a rozdíl mezi politikou vynucovanou prohlížečem a rozhodnutími důvěry na straně serveru.
Ověřování a provozPřezkoumávejte architekturu a kód, testujte autentizované role a workflow, hodnoťte konfiguraci nasazení, monitorujte zneužití a selhání a po změnách aplikace či platformy přehodnoťte.
Důležité omezeníSkener či firewall webových aplikací dokáže detekovat či blokovat vybrané vzory, ale ani jeden nemůže zajistit správnou obchodní logiku, úplnou autorizaci, bezpečný návrh či přiměřené pokrytí každého stavu aplikace.