Checklist bảo mật cho website cá nhân nhỏ

Website cá nhân không xử lý tiền bạc vẫn có thể bị spam, chèn mã hoặc lộ dữ liệu. Một vài nguyên tắc đơn giản giúp giảm đáng kể rủi ro.

Dùng HTTPS

Kích hoạt SSL và thử truy cập bằng https://. HTTPS bảo vệ dữ liệu giữa trình duyệt và server, đồng thời giúp những API như Web Crypto và clipboard hoạt động ổn định hơn.

Không tin dữ liệu người dùng gửi

Dù chỉ có một guestbook, hãy giới hạn độ dài, xử lý dữ liệu trên server và escape nội dung khi hiển thị. Trên client, ưu tiên textContent thay vì gắn trực tiếp nội dung vào innerHTML.

Bảo vệ biểu mẫu

Form nên có CSRF token, giới hạn tần suất gửi, honeypot và duyệt bài trước khi đăng công khai. Lưu ý: honeypot và giới hạn theo session chỉ là lớp bảo vệ cơ bản, không ngăn được mọi bot.

Giữ mật khẩu và bản sao an toàn

Mật khẩu quản trị phải mạnh, không lưu dạng plaintext trên web và không được tải file chứa mật khẩu lên thư mục public. Sao lưu cả mã nguồn và dữ liệu đã được duyệt. Trên shared hosting, kiểm tra quyền file và thử trực tiếp xem thư mục nhạy cảm có được chặn truy cập hay không.

Ít tính năng server-side hơn cũng có nghĩa là ít bề mặt tấn công hơn.