Перейти к основному содержимому

Чек-лист по усилению безопасности

Чек-лист, который стоит проходить перед и после выхода в прод.

Секреты​

  • Не хранить секреты в git.
  • Регулярно ротировать ключи и auth-секреты.
  • Разделять секреты по окружениям.

Сеть​

  • Открывать только необходимые порты.
  • Держать DB/Redis в приватной сети.
  • Ограничить SSH и использовать ключевую авторизацию.

Приложение​

  • Установить сильный NEXTAUTH_SECRET.
  • Обновлять зависимости.
  • Логировать события, важные для безопасности.

Эксплуатация​

  • Принцип least privilege для сервисных аккаунтов.
  • Шифрование и ретеншн бэкапов.
  • Периодический security/dependency аудит.