5 błędów bezpieczeństwa, które najczęściej widzę w sklepach internetowych
Krótki przegląd powtarzalnych podatności w e-commerce — od nagłówków bezpieczeństwa po logikę rabatów.
Podczas audytów sklepów internetowych pewne błędy powracają wyjątkowo często. Oto pięć z nich — jeśli prowadzisz sklep, warto sprawdzić każdy punkt.
1. Brak nagłówków bezpieczeństwa
Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options —
to prosta warstwa ochrony, którą wiele sklepów pomija. Ich wdrożenie zajmuje
chwilę, a znacząco utrudnia część ataków.
2. Błędy w logice biznesowej
Kody rabatowe, które można łączyć w nieskończoność, ceny przeliczane po stronie klienta, koszyki podatne na manipulację — to podatności, których skaner nie wykryje. Trzeba je przetestować ręcznie.
3. Wrażliwe dane w logach
Numery zamówień to jedno, ale dane osobowe czy tokeny sesyjne w logach to realny problem. Warto zweryfikować, co dokładnie trafia do systemu logowania.
4. Nieaktualne komponenty
Wtyczki i biblioteki bez aktualizacji to jedno z najczęstszych wejść dla atakującego. Regularny przegląd zależności powinien być rutyną.
5. Słaba konfiguracja sesji
Ciasteczka bez flag Secure i HttpOnly, zbyt długi czas życia sesji, brak
rotacji identyfikatora po zalogowaniu — drobiazgi, które razem tworzą poważne
ryzyko.
Chcesz mieć pewność, że Twój sklep jest bezpieczny? Zamów audyt.