23.3K ·GitHub
Что это такое?
Чек-лист сообщества из самых важных мер безопасности, которые нужно применять при проектировании, тестировании и выпуске API — список с чек-боксами, который вы прогоняете перед релизом.
Чек-лист сообщества из самых важных мер безопасности, которые нужно применять при проектировании, тестировании и выпуске API — список с чек-боксами, который вы прогоняете перед релизом.То есть это инструмент, который надо установить, или скорее документ?Документ — обычный markdown прямо в README, ничего устанавливать и запускать не нужно. Он разбит на разделы вроде Authentication, Access и Output, и в каждом — список чек-боксов, которые вы отмечаете по ходу ревью.
Документ — обычный markdown прямо в README, ничего устанавливать и запускать не нужно. Он разбит на разделы вроде Authentication, Access и Output, и в каждом — список чек-боксов, которые вы отмечаете по ходу ревью.Он показывает, как реализовать каждую меру, или только что проверять?Только что проверять: каждый пункт — это правило в одну строку, например отказаться от Basic Auth или выключить режим DEBUG. Ни кода, ни пошаговых инструкций — реализация на вашей стороне.
Только что проверять: каждый пункт — это правило в одну строку, например отказаться от Basic Auth или выключить режим DEBUG. Ни кода, ни пошаговых инструкций — реализация на вашей стороне.Какой пример конкретного совета внутри?Мелкие проектные решения с большим эффектом: отдавать /me/orders вместо /user/654321/orders, использовать UUID вместо автоинкрементных ID и возвращать общие сообщения об ошибках, чтобы клиенты не могли определить ваш стек.
Мелкие проектные решения с большим эффектом: отдавать /me/orders вместо /user/654321/orders, использовать UUID вместо автоинкрементных ID и возвращать общие сообщения об ошибках, чтобы клиенты не могли определить ваш стек.Там есть и про релизные процессы?Да — проверять дизайн и реализацию юнит- и интеграционными тестами, требовать код-ревью без самоаппрува, постоянно запускать статический и динамический анализ безопасности, проверять зависимости на известные уязвимости и предусмотреть возможность откатить деплой.
Да — проверять дизайн и реализацию юнит- и интеграционными тестами, требовать код-ревью без самоаппрува, постоянно запускать статический и динамический анализ безопасности, проверять зависимости на известные уязвимости и предусмотреть возможность откатить деплой.Он ссылается на какие-то связанные материалы?Да, там есть ссылка на yosriady/api-development-tools — сопутствующую подборку полезных ресурсов для создания RESTful HTTP+JSON API.
Да, там есть ссылка на yosriady/api-development-tools — сопутствующую подборку полезных ресурсов для создания RESTful HTTP+JSON API.What are similar projects?security-guide-for-developers, secguide, SafeLine, claude-relay-service, CheatSheetSeries, trufflehog, bifrost, tyk
security-guide-for-developers, secguide, SafeLine, claude-relay-service, CheatSheetSeries, trufflehog, bifrost, tykWhich topics is it in?security-hardening, secret-management, zero-trust, checklist, application-security, rate-limiting, web-security, devsecops, jwt, ci-cd, oauth2, graphql
security-hardening, secret-management, zero-trust, checklist, application-security, rate-limiting, web-security, devsecops, jwt, ci-cd, oauth2, graphql