شماره راهنما03امنیت حساب و حفاظت از داده‌ها
اصول مدیریت رمز، نشست، کلیدهای API، نقش‌ها و حریم داده در فضای کاری را بشناسید.
امنیت در سامانه چندلایه است: احراز هویت، کنترل نقش و tenant، اعتبارسنجی درخواست‌ها، محافظت CSRF، نگهداری امن کلیدها و ثبت رخدادهای فنی. رعایت این کنترل‌ها به معنی مصونیت مطلق نیست؛ تنظیمات میزبان و رفتار کاربران نیز اهمیت دارند.
رمز عبور و نشست
از رمز یکتا و طولانی استفاده کنید و آن را در مرورگرهای عمومی ذخیره نکنید. پس از استفاده از دستگاه مشترک خارج شوید و دسترسی افراد غیرضروری را لغو کنید.
کلیدهای API
کلید ارائه‌دهندگان را فقط در تنظیمات رسمی حساب خود وارد کنید. کلیدها نباید در کد سمت مرورگر، فایل‌های عمومی، اسکرین‌شات یا گزارش‌های قابل اشتراک قرار گیرند.
نقش و جداسازی مشتریان
هر فضای کاری باید فقط به داده‌های tenant خودش دسترسی داشته باشد. نقش همکاران را متناسب با مسئولیت واقعی تخصیص دهید و دسترسی مدیریتی را محدود نگه دارید.
گزارش خطا
گزارش‌های فنی برای عیب‌یابی طراحی شده‌اند. اطلاعات حساس مانند رمز، توکن و داده مالی نباید در متن تیکت یا ورودی آزاد درج شود. برای پیگیری، شناسه رخداد را ارسال کنید.
پشتیبان‌گیری و میزبانی
از دیتابیس و کلید برنامه نسخه پشتیبان رمزگذاری‌شده و منظم تهیه کنید. دسترسی فایل‌های storage را محدود و HTTPS را در محیط عملیاتی اجباری کنید.
چک‌لیست امنیت فضای کاری
نمونه‌ای از کنترل‌های قابل بازبینی؛ وضعیت‌های این نما صرفاً آموزشی‌اند.
پس از مطالعه این راهنما چه مواردی را بررسی کنم؟
- برای هر سرویس از کلید جداگانه و سطح دسترسی حداقلی استفاده کنید.
- نشست دستگاه‌های مشترک را پایان دهید و نقش‌های غیرضروری را لغو کنید.
- نسخه پشتیبان دیتابیس و کلید برنامه را جداگانه و رمزگذاری‌شده نگهداری کنید.
نکته مهم: ایمن بودن کد به‌تنهایی کافی نیست؛ تنظیمات سرور، مجوز پوشه‌ها، HTTPS و شیوه نگهداری پشتیبان نیز بخشی از امنیت هستند.