Cosa impari
- Rate-limitare ogni endpoint pubblico per fermare il brute force, lo spam e l'abuso che gonfia la fattura
- Gli header CSP, cifrare le credential memorizzate e tenere un audit log
- Una checklist pre-pubblica di repo perche i segreti della cronologia non diventino mai pubblici
Panoramica
Nell'istante in cui la tua app e su Internet, e sondata da bot in pochi minuti. Non hai bisogno di una squadra di sicurezza per essere sicuro contro gli attacchi comuni, hai bisogno di un pugno di essenziali, applicati sistematicamente: limita ogni endpoint pubblico con un rate limit, blocca con una CSP cio che il browser eseguira, cifra le credential che memorizzi, logga chi ha fatto cosa, e non passare mai un repo in pubblico senza auditare la sua cronologia per i segreti. Questa lezione rende ciascuno concreto.
Cosa imparerai
Imparerai ad aggiungere rate limit agli endpoint pubblici, a porre un header Content Security Policy, a cifrare le credential memorizzate a riposo, a tenere un audit log utile e a far girare un audit pre-pubblico di repo che coglie i segreti nascosti in vecchi commit. Sono le misure che separano un progetto hobbistico da qualcosa su cui puoi responsabilmente dirigere veri utenti.
Prerequisiti
Le lezioni sui segreti dei Corsi 1 e 3, perche piu misure qui si appoggiano sul tenere i segreti nelle variabili d'ambiente e fuori dal codice. Un'app in deploy con almeno un endpoint o form pubblico rende la lezione concreta, ma puoi applicare tutto al tuo prossimo progetto dal primo commit.
Un file .env memorizza secret come le chiavi API fuori dal tuo codice, così non vengono mai pubblicati. Impara cos'è e come tenerlo al sicuro.
I token sono i pezzi di testo in cui i modelli di IA leggono e vengono fatturati. Impara cos'è un token, perché conta per i costi e come differisce da un token di sicurezza.
GitHub è un sito web che conserva i tuoi progetti Git online per il backup, la collaborazione e il deploy. Impara cos'è e come usarlo.
Un repository è la cartella del tuo progetto tracciata da Git, e il controllo di versione è la rete di sicurezza che registra ogni modifica. Impara entrambi in parole semplici.
Il problema
Tre omissioni nuocciono ai piccoli builder ancora e ancora. Primo: un endpoint non protetto si fa martellare - un form di login brute-forcato, un form di contatto spammato o un endpoint di IA chiamato in loop finche la tua fattura fornitore esplode. Secondo: una chiave API o una password memorizzata siede in chiaro, cosicche una sola fuga di database da a un attaccante tutto in una volta. Terzo, e il piu frequente: un fondatore rende un repo pubblico per condividerlo, e un segreto committato due anni fa e ora per sempre su Internet aperto. Ognuno e evitabile con un'abitudine.
Commenti
Caricamento dei commenti.
Pubblica un commento