Üretilen kodu güvenilmeyen bir katkı gibi ele alın. Sunucudaki yetkilendirmeyi kontrol edin, API sınırlarında girdileri doğrulayın, sahiplik kontrollerini ve güvenli hata yanıtlarını doğrulayın. Depoda ve derleme çıktılarında API anahtarlarını, token'ları ve özel verileri arayın.
Bağımlılık değişikliklerini ve lockfile'ları inceleyin; CI'da commit edilmiş lockfile'dan kurulum yapın. Staging ortamında kimlik doğrulamayı, rolleri, dosya yüklemelerini, ödeme akışlarını ve yedekleri test edin. Nelerin doğrulanması gerektiğini tanımlamak için OWASP ASVS gibi bir güvenlik taban çizgisi kullanın. OWASP ASVS
İzlenecek adımlar
- Kaynak kodu, geçmişi ve derleme çıktısını sırlar için tarayın.
- Bağımlılık ve lockfile değişikliklerini inceleyin.
- Başka bir kullanıcı olarak erişim denetimini ve girdi doğrulamasını test edin.
- Production sürümünden önce yedekleri ve rollback'i doğrulayın.