Chroni kod po stronie klienta, logikę serwerową, sesje, dane, interfejsy i konfigurację pomocniczą przed nieautoryzowanym dostępem, niebezpieczną interpretacją danych wejściowych, nadużyciem zaufania przeglądarki i innymi awariami warstwy aplikacji. Zakres obejmuje projektowanie, implementację, wdrażanie, testowanie, monitorowanie i remediację — nie tylko filtrowanie obwodowe.
Aplikacje webowe przekraczają kilka granic zaufania: przeglądarka–serwer, jedno źródło–inne źródło, aplikacja–magazyn danych, usługa–usługa i kod–treść strony trzeciej. Bezpieczeństwo zależy od zachowania tych granic przy jednoczesnym stosowaniu autoryzacji i reguł biznesowych do każdej wrażliwej akcji.
Najważniejsze punkty
Kluczowe kontroleStosuj bezpieczną obsługę sesji, autoryzację po stronie serwera, obsługę wejścia i wyjścia odpowiednią do kontekstu, chroniony transport, bezpieczne zachowanie błędów, zasadę minimalnych uprawnień i kontrolowaną integrację z zależnościami.
Projekt świadomy przeglądarkiUwzględniaj źródła (origins), ciasteczka, osadzanie w ramkach, nawigację, wykonanie skryptów, ładowanie treści, pamięć po stronie klienta oraz różnicę między polityką wymuszaną przez przeglądarkę a decyzjami zaufania po stronie serwera.
Weryfikacja i eksploatacjaPrzeglądaj architekturę i kod, testuj uwierzytelnione role i przepływy pracy, oceniaj konfigurację wdrożenia, monitoruj nadużycia i awarie oraz ponownie oceniaj po zmianach aplikacji lub platformy.
Istotne ograniczenieSkaner lub zapora aplikacji webowych może wykrywać lub blokować wybrane wzorce, ale żadne nie może ustalić poprawnej logiki biznesowej, kompletnej autoryzacji, bezpiecznego projektu ani adekwatnego pokrycia każdego stanu aplikacji.