Операционный план веб-безопасности

Приоритет: ВЫСОКИЙ | Сроки: День 1-2 | Ответственный: DevOps Lead

Описание:

Необходимо добавить заголовок X-Frame-Options в конфигурацию веб-сервера для защиты от clickjacking атак.

Решение для Nginx/LiteSpeed:

server {
    # Добавить в блок server конфигурации
    add_header X-Frame-Options "DENY" always;
    
    # Альтернативно можно использовать SAMEORIGIN
    # add_header X-Frame-Options "SAMEORIGIN" always;
}

Проверка на staging:

• Развернуть конфигурацию на staging сервер
• Проверить заголовок командой: curl -I https://staging.example.com
• Убедиться что возвращается: X-Frame-Options: DENY
• Проверить все эндпоинты (/, /index, etc.)

Развёртывание на production:

1. Создать backup текущей конфигурации: cp nginx.conf nginx.conf.backup
2. Обновить production конфигурацию
3. Перезагрузить сервер: systemctl reload nginx (без downtime)
4. Проверить продакшн: curl -I https://example.com
5. Документировать изменение в changelog

Откат (если потребуется):

cp nginx.conf.backup nginx.conf
systemctl reload nginx

Приоритет: ВЫСОКИЙ | Сроки: День 3-5 | Ответственный: Infrastructure Lead

Описание:

Текущий SSL-сертификат не соответствует доменному имену. Требуется получение и установка корректного сертификата для example.com.

Процедура через Cloudflare:

1. Перейти в Cloudflare Dashboard → SSL/TLS
2. Нажать "Generate certificate" для example.com
3. Выбрать опцию "Comodo/Universal" certificate
4. Дождаться validation (~5 мин)
5. Скопировать сертификат и key на сервер
6. Обновить конфигурацию Nginx

Обновление конфигурации Nginx:

server {
    listen 443 ssl http2;
    server_name example.com www.example.com;
    
    # Обновить пути на новый сертификат
    ssl_certificate /etc/ssl/certs/example.com.crt;
    ssl_certificate_key /etc/ssl/private/example.com.key;
    
    # Рекомендуемые параметры SSL
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
}

Проверка:

• Проверить сертификат: openssl s_client -connect example.com:443
• Убедиться что CN = example.com (не cdnjs.cloudflare.com)
• Проверить срок действия
• Открыть в браузере и убедиться что нет предупреждений
• Проверить SSL Report на https://www.ssllabs.com/

Приоритет: СРЕДНИЙ | Сроки: День 5-7 | Ответственный: DevOps + Security

Описание:

Добавить комплект рекомендуемых заголовков безопасности для полной защиты веб-приложения.

Полный набор заголовков:

server {
    # Clickjacking protection
    add_header X-Frame-Options "DENY" always;
    
    # Prevent MIME type detection
    add_header X-Content-Type-Options "nosniff" always;
    
    # XSS protection
    add_header X-XSS-Protection "1; mode=block" always;
    
    # Referrer policy
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    
    # Permissions/Feature policy
    add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;
    
    # HSTS (HTTP Strict Transport Security)
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
}

Тестирование:

• Проверить все заголовки: curl -I https://example.com
• Убедиться что все 6 заголовков присутствуют
• Проверить HSTS preload status: https://hstspreload.org
• Провести полное функциональное тестирование приложения