Чем HTTPS отличается от HTTP и что он защищает
HTTPS шифрует данные между браузером и сайтом, защищая от перехвата и подмены
Аутентификация и авторизация: где проходит граница
Как работают проверка личности и прав доступа и почему системы возвращают разные ошибки
Подпись вебхука: как понять, что вызов настоящий
Как правильно проверять подписи вебхуков и почему секретный URL не защищает от атак
SSH отклоняет ключ: где искать причину
Как правильно настроить права на файлы и каталоги, чтобы SSH-сервер не игнорировал ключи
CSRF: как чужой сайт действует от вашего имени
Как распознать уязвимость и защитить свой сайт от атак через браузер пользователя
XSS: как чужой скрипт оказывается на вашей странице
Как правильно защищать приложения от XSS-уязвимостей в разных контекстах и почему фильтрация не решает проблему
SQL-инъекция: как она работает и чем закрывается
Как защитить приложения от SQL-инъекций и почему классические методы не работают
Заголовки безопасности: какие ставить и что они ломают
Что ломается при неправильной настройке заголовков безопасности и как этого избежать
JWT: что это на самом деле и где он не подходит
Как реализовать мгновенный отзыв JWT без потери производительности и безопасности в распределённых системах
Пароли пользователей: как хранить и что проверить сегодня
Как определить уязвимости в хранении паролей и быстро исправить их в своём проекте
Сертификат истёк: почему это повторяется
Почему напоминание в календаре не спасает и чем его заменить
Токен в браузере: где его хранить
Вопрос о месте хранения решается моделью угрозы, а не удобством. Две популярные ответа защищают от разных вещей, и одно хранилище не даёт обоих свойств.
Секреты в CI: пять типовых утечек
Разберём, почему хранение секретов в хранилище и маскирование логов не спасают от утечки, и покажем пять мест, где конвейер CI теряет ключи
Политика обновления зависимостей, которую соблюдают
Разбираемся, почему матрицы дедлайнов и дни обновлений не работают и как построить политику, в которой обновлять зависимости дешевле, чем откладывать
Безопасность как метрика команды
Почему счётчик уязвимостей портит работу команды и какую метрику безопасности выбрать, чтобы измерять её собственное поведение, а не чужой труд
Что о вашей компании видно снаружи
Как бесплатно проверить, что о вашей компании видно постороннему: DNS, публичные журналы сертификатов и другие открытые источники, которые выдают забытые активы
Почему приложение просит столько разрешений
Почему внимательное чтение списка разрешений не спасает: он показывает, что приложение возьмёт, но не говорит, зачем ему это нужно
Цепочка поставок: перечень, который кто-то читает
Почему перечень состава после генерации не читает никто и какие шаги превращают файл в индекс, отвечающий на запросы по всем сборкам