Aceasta protejează codul client-side, logica server-side, sesiunile, datele, interfețele și configurația de suport împotriva accesului neautorizat, interpretării nesigure a intrărilor, abuzului încrederii browserului și altor eșecuri la nivel de aplicație. Domeniul include proiectarea, implementarea, lansarea, testarea, monitorizarea și remedierea — nu doar filtrarea la perimetru.
Aplicațiile web traversează mai multe frontiere de încredere: browser către server, un origin către altul, aplicație către depozitul de date, serviciu către serviciu și cod către conținut terț. Securitatea depinde de păstrarea acelor frontiere aplicând în același timp autorizare și reguli de afaceri fiecărei acțiuni sensibile.
Puncte esențiale
Controale de bazăFolosiți gestionare sigură a sesiunilor, autorizare server-side, tratare adecvată contextului a intrărilor și ieșirilor, transport protejat, comportament sigur la erori, privilegii minime și integrare controlată cu dependențele.
Design conștient de browserȚineți cont de origin-uri, cookie-uri, framing, navigare, execuția scripturilor, încărcarea conținutului, stocarea client-side și diferența dintre politica aplicată de browser și deciziile de încredere server-side.
Verificare și operareRevizuiți arhitectura și codul, testați rolurile și fluxurile de lucru autentificate, evaluați configurația de implementare, monitorizați abuzul și eșecurile și reevaluați după modificări ale aplicației sau platformei.
Limitare importantăUn scanner sau un firewall pentru aplicații web poate detecta sau bloca modele selectate, dar niciunul nu poate stabili logica de afaceri corectă, autorizarea completă, designul sigur sau acoperirea adecvată a fiecărui stare a aplicației.