Checklist di sicurezza per applicazioni web: dieci controlli

Dieci controlli da fare prima di chiedere un test. Non sostituiscono il test: aiutano a non partire da zero.

Accessi tra utenti

Un utente non vede né modifica i dati di un altro cambiando un identificativo.

Le sessioni scadono e si chiudono al logout.

Il reset non rivela se un account esiste e il link scade.

Il login rallenta o blocca dopo tentativi ripetuti.

I campi di testo non eseguono codice e non rivelano errori interni.

Le librerie sono aggiornate e l'inventario è noto.

Nessuna chiave o password nel codice o nei pacchetti pubblicati.

Politiche per contenuti, trasporto e framing sono impostate.

Gli accessi falliti e le modifiche sensibili sono registrati.

Prezzi, quantità e stati dell'ordine non si modificano dal browser.