Que dois-je vérifier avant de publier une application Web?

Question

J'ai presque terminé une application web. Je dois le tester et trouver les problèmes de sécurité avant sa sortie. Existe-t-il des méthodes/lignes directrices pour effectuer ce type de test? Ou y at-il des outils pour m'aider à vérifier que mon application est prête à aller en ligne? Je vous remercie.

Answer 1

je dirais:

1. vérifier qu'il n'y a pas d'avertissement ou d'erreurs, même en mode strict (rapport d'erreur).
2. Si vous stockez des données sensibles (comme des mots de passe, des cartes de crédit, etc.), assurez-vous qu'elles sont cryptées avec des algorithmes non standard. Utilisez SSL et essayez d'être en quelque sorte paranoïaque avec elle.
3. Définissez votre base de données avec des accès spécifiques par action et par hôte, et n'utilisez pas de compte root.
4. Effectuer des tests exhaustifs (utiliser un test unitaire si possible). Impliquez autant de personnes que possible.
5. Testez-le sous les principaux navigateurs (Firefox, Chrome, Opera, Safari, IE) et si vous avez du temps dans d'autres.
6. Validez tous vos HTML/CSS par rapport aux normes (W3C). (recommandable)
7. Selon la plate-forme que vous utilisez, il existe des profileurs qui peuvent vous aider à identifier les goulots d'étranglement dans votre code. (peut être fait dans les étapes ultérieures).
8. Réglez les paramètres de votre serveur/langage de script Web.
9. Assurez-vous que le moteur de recherche est convivial.
10. Priez une fois est en ligne :)

Ce n'est pas une liste complète car elle dépend:

• quelle langue/plate-forme/serveur Web que vous utilisez.
• quel type d'application que vous avez développé (social, financier, gestion, etc.)
• qui utilisera cette application (le monde entier, une société spécifique, votre famille ou tout simplement vous).
• allez-vous le vendre? alors vous devez avoir au moins la plupart des points précédents.
• est votre application en utilisant des informations très sensibles (comme les cartes de crédit)? Si oui, vous devriez payer pour un professionnel (entreprise?) pour vérifier votre code, paramètres et méthodes.

Ceci est juste mon avis, prenez-le tel quel. J'aimerais aussi entendre ce que les autres suggèrent.

Bonne chance

Answer 2

Outre ce qui a déjà été suggéré, selon le type d'application, il est, vous pouvez utiliser un scanner de vulnérabilité pour analyser votre demande pour toutes les vulnérabilités qui pourraient conduire à les pirates d'entrée.

Il y a pas mal de bons scanners, mais notez en les utilisant que les résultats peuvent être 100% ou non. C'est difficile à dire.

Pour une liste des scanners, commerciaux et libres, voir: http://projects.webappsec.org/Web-Application-Security-Scanner-List

Pour plus d'informations sur les scanners: http://en.wikipedia.org/wiki/Web_Application_Security_Scanner

Bonne chance.

Answer 3

Vous trouverez ici une liste de vérification pratique à utiliser avant le lancement d'un site
http://launchlist.net/

Et voici une liste de tous les trucs que vous avez oublié de tester
http://www.thebraidytester.com/downloads/YouAreNotDoneYet.pdf