āĻā§ā§āĻŦ āĻ ā§āĻ¯āĻžāĻĒā§āĻ˛āĻŋāĻā§āĻļāĻ¨ āĻ āĻŦā§āĻ°āĻžāĻāĻāĻžāĻ° āĻ¸āĻŋāĻāĻŋāĻāĻ°āĻŋāĻāĻŋ
āĻŦā§āĻ°āĻžāĻāĻāĻžāĻ° āĻ˛ā§āĻā§āĻ˛ā§āĻ° āĻĒā§āĻ°āĻā§āĻāĻļāĻ¨ āĻšā§āĻĄāĻžāĻ°, āĻā§āĻāĻŋ āĻĒāĻ˛āĻŋāĻ¸āĻŋ, āĻāĻŦāĻ āĻŦāĻŋāĻāĻŋāĻ¨ā§āĻ¨ āĻšā§āĻ¯āĻžāĻāĻŋāĻ āĻā§āĻāĻ¨āĻŋāĻ āĻĨā§āĻā§ āĻ¸āĻžāĻāĻāĻā§ āĻ¸ā§āĻ°āĻā§āĻˇāĻŋāĻ¤ āĻāĻ°āĻžāĻ° āĻ¸ā§āĻā§āĻ¯āĻžāĻ¨ā§āĻĄāĻžāĻ°ā§āĻĄ āĻāĻĒāĻžā§āĻ¸āĻŽā§āĻšāĨ¤
Architectural Security Blueprints (āĻāĻ°ā§āĻāĻŋāĻā§āĻāĻāĻžāĻ° āĻāĻŋāĻ¤ā§āĻ¤āĻŋāĻ āĻ¨āĻŋāĻ°āĻžāĻĒāĻ¤ā§āĻ¤āĻž āĻāĻžāĻāĻĄ)
Static Web Security
Example: example-static.com
āĻ¯āĻž āĻ¸āĻžāĻ§āĻžāĻ°āĻŖāĻ¤ Next.js static HTML export, Vercel āĻŦāĻž Netlify-āĻ¤ā§ āĻšā§āĻ¸ā§āĻ āĻāĻ°āĻž āĻšā§āĨ¤ āĻāĻāĻžāĻ¨ā§ āĻ¸āĻ°āĻžāĻ¸āĻ°āĻŋ āĻŦā§āĻ¯āĻžāĻāĻāĻ¨ā§āĻĄ āĻĄāĻžāĻāĻžāĻŦā§āĻ¸ āĻāĻā§āĻ¸ā§āĻ¸ āĻĨāĻžāĻā§ āĻ¨āĻžāĨ¤
ā§§. XSS: āĻ¸ā§āĻā§āĻ°āĻŋāĻĒā§āĻ āĻ°āĻžāĻ¨ āĻāĻ°ā§ āĻā§āĻāĻŋ/āĻā§āĻā§āĻ¨ āĻ°āĻŋāĻĄāĨ¤
ā§¨. Clickjacking: āĻ
āĻĻā§āĻļā§āĻ¯ āĻĢā§āĻ°ā§āĻŽā§ āĻ°ā§āĻā§ āĻŦāĻžāĻāĻ¨ āĻā§āĻ°āĻŋāĻ āĻāĻ°āĻžāĨ¤
Strict CSP, SRI āĻāĻŦāĻ X-Frame-Options/frame-ancestors āĻ¯ā§āĻā§āĻ¤ āĻāĻ°āĻžāĨ¤
Dynamic App Security
Example: example-app.com
āĻ¯ā§āĻāĻžāĻ¨ā§ āĻā§āĻ˛āĻžāĻ¯āĻŧā§āĻ¨ā§āĻ āĻ¸āĻžāĻāĻĄ āĻāĻŦāĻ āĻŦā§āĻ¯āĻžāĻāĻāĻ¨ā§āĻĄ āĻāĻĒāĻŋāĻāĻ āĻĒā§āĻ°āĻ¤āĻŋāĻ¨āĻŋā§āĻ¤ āĻĄāĻžāĻāĻ¨āĻžāĻŽāĻŋāĻ āĻĄāĻžāĻāĻž āĻ āĻā§āĻāĻŋāĻ āĻāĻĻāĻžāĻ¨-āĻĒā§āĻ°āĻĻāĻžāĻ¨ āĻāĻ°ā§ (āĻ¯ā§āĻŽāĻ¨ Next.js API/custom server)āĨ¤
ā§§. CORS Leak: āĻā§āĻ˛ āĻ
āĻ°āĻŋāĻāĻŋāĻ¨ āĻšā§āĻ¯āĻŧāĻžāĻāĻāĻ˛āĻŋāĻ¸ā§āĻāĻŋāĻāĨ¤
ā§¨. CSRF: āĻāĻāĻāĻžāĻ°ā§āĻ° āĻ¸ā§āĻļāĻ¨ āĻŦā§āĻ¯āĻŦāĻšāĻžāĻ° āĻāĻ°ā§ āĻā§āĻˇāĻ¤āĻŋāĻāĻ° āĻ°āĻŋāĻā§āĻ¯āĻŧā§āĻ¸ā§āĻ āĻĒāĻžāĻ āĻžāĻ¨ā§āĨ¤
HttpOnly/Secure Cookies, Strict CORS āĻāĻŦāĻ Anti-CSRF āĻā§āĻ°āĻŋāĻĢāĻŋāĻā§āĻļāĻ¨āĨ¤
Backend & Server Security
Example: api.example-app.com
āĻāĻāĻŋ āĻšāĻ˛ā§ āĻāĻĒāĻ¨āĻžāĻ° āĻāĻĒāĻŋāĻāĻ āĻšā§āĻ¸ā§āĻāĻŋāĻ āĻŦāĻž āĻ¨ā§āĻĄ/āĻ¨ā§āĻā§āĻ¸āĻ āĻ¸āĻžāĻ°ā§āĻāĻžāĻ° āĻāĻ¨āĻĢā§āĻ°āĻžāĻ¸ā§āĻā§āĻ°āĻžāĻāĻāĻžāĻ° (VPS, Nginx configuration) āĻ¯āĻž āĻĒā§āĻ°āĻā§āĻā§āĻ āĻāĻ°āĻž āĻāĻŦāĻļā§āĻ¯āĻāĨ¤
ā§§. MIME Sniffing: āĻāĻā§āĻ¸āĻŋāĻāĻŋāĻāĻā§āĻŦāĻ˛ āĻĢāĻžāĻāĻ˛ āĻāĻĒāĻ˛ā§āĻĄ āĻ°āĻžāĻ¨ āĻāĻ°āĻžāĨ¤
ā§¨. API Overload: āĻ°ā§āĻ āĻ˛āĻŋāĻŽāĻŋāĻāĻŋāĻ āĻāĻžā§āĻž DoS āĻ
ā§āĻ¯āĻžāĻāĻžāĻāĨ¤
API Rate Limiting, HSTS Enforce, nosniff āĻ Referrer Security HeadersāĨ¤
Security Features (āĻĢāĻŋāĻāĻžāĻ°āĻ¸āĻŽā§āĻš)
āĻ¯ā§āĻā§āĻ¨ā§ āĻā§ā§āĻŦāĻ¸āĻžāĻāĻā§āĻ° āĻĄā§āĻŽā§āĻāĻ¨ āĻĻāĻŋā§ā§ āĻ¤āĻžāĻ° āĻ˛āĻžāĻāĻ āĻ¸āĻŋāĻāĻŋāĻāĻ°āĻŋāĻāĻŋ āĻšā§āĻĄāĻžāĻ° āĻ SRI āĻāĻ¨āĻĢāĻŋāĻāĻžāĻ°ā§āĻļāĻ¨ āĻā§āĻ āĻāĻ°ā§āĻ¨āĨ¤
⥠Open Live ScannerContent Security Policy (CSP)
āĻāĻ¨āĻā§āĻ¨ā§āĻ āĻ¸āĻŋāĻāĻŋāĻāĻ°āĻŋāĻāĻŋ āĻĒāĻ˛āĻŋāĻ¸āĻŋ (CSP)āĻ°āĻŋāĻ¸ā§āĻ°ā§āĻ¸ āĻ āĻĒāĻ°āĻŋāĻāĻŋāĻ¤āĻŋ:
CSP āĻšāĻ˛ā§ āĻāĻāĻāĻŋ āĻā§āĻ°ā§āĻ¤ā§āĻŦāĻĒā§āĻ°ā§āĻŖ āĻĄāĻŋāĻĢā§āĻ¨ā§āĻ¸-āĻāĻ¨-āĻĄā§āĻĒā§āĻ¤ āĻ¨āĻŋāĻ°āĻžāĻĒāĻ¤ā§āĻ¤āĻž āĻŦā§āĻļāĻŋāĻˇā§āĻā§āĻ¯ āĻ¯āĻž āĻŦā§āĻ°āĻžāĻāĻāĻžāĻ°āĻā§ āĻ¨āĻŋāĻ°ā§āĻĻā§āĻļ āĻĻā§ā§ āĻ¸āĻžāĻāĻā§āĻ° āĻ¨āĻŋāĻāĻ¸ā§āĻŦ āĻĒā§āĻā§ āĻā§āĻ¨ āĻā§āĻ¨ āĻ¸ā§āĻ°ā§āĻ¸ āĻŦāĻž āĻĄā§āĻŽā§āĻāĻ¨ āĻĨā§āĻā§ āĻ¸ā§āĻā§āĻ°āĻŋāĻĒā§āĻ, āĻāĻŽā§āĻ āĻŦāĻž āĻ¸ā§āĻāĻžāĻāĻ˛ āĻ˛ā§āĻĄ āĻāĻ°āĻžāĻ° āĻ āĻ¨ā§āĻŽāĻ¤āĻŋ āĻāĻā§āĨ¤ āĻāĻāĻŋ XSS āĻāĻŦāĻ āĻĄāĻžāĻāĻž āĻāĻ¨āĻā§āĻāĻļāĻ¨ āĻāĻā§āĻ°āĻŽāĻŖ āĻĒā§āĻ°āĻ¤āĻŋāĻ°ā§āĻ§ā§ āĻĻāĻžāĻ°ā§āĻŖ āĻāĻžāĻ°ā§āĻ¯āĻāĻ°āĨ¤
đž Hacking Methodology (āĻā§āĻāĻžāĻŦā§ āĻšā§āĻ¯āĻžāĻ āĻāĻ°āĻž āĻšā§?)
āĻšā§āĻ¯āĻžāĻāĻžāĻ°āĻ°āĻž āĻā§ā§āĻŦāĻ¸āĻžāĻāĻā§ āĻā§āĻˇāĻ¤āĻŋāĻāĻ° āĻ¸ā§āĻā§āĻ°āĻŋāĻĒā§āĻ (XSS payload) āĻāĻ¨āĻā§āĻā§āĻ āĻāĻ°ā§āĨ¤ CSP āĻ¸āĻā§āĻ°āĻŋā§ āĻ¨āĻž āĻĨāĻžāĻāĻ˛ā§ āĻŦā§āĻ°āĻžāĻāĻāĻžāĻ° āĻ¯ā§āĻā§āĻ¨ā§ āĻāĻā§āĻ¸āĻāĻžāĻ°ā§āĻ¨āĻžāĻ˛ āĻā§āĻˇāĻ¤āĻŋāĻāĻ° āĻĄā§āĻŽā§āĻāĻ¨ (āĻ¯ā§āĻŽāĻ¨: hacker.com/steal.js) āĻĨā§āĻā§ āĻ¸ā§āĻā§āĻ°āĻŋāĻĒā§āĻ āĻāĻ¨ā§ āĻ°āĻžāĻ¨ āĻāĻ°ā§ āĻāĻŦāĻ āĻĄāĻžāĻāĻž āĻā§āĻ°āĻŋ āĻāĻ°ā§ āĻĢā§āĻ˛ā§āĨ¤
đĄī¸ Developer Protection Guide (āĻ¸ā§āĻ°āĻā§āĻˇāĻž āĻāĻžāĻāĻĄ)
Nginx, Apache āĻŦāĻž āĻ ā§āĻ¯āĻžāĻĒ āĻ¸āĻžāĻ°ā§āĻāĻžāĻ°ā§ Content-Security-Policy āĻšā§āĻĄāĻžāĻ° āĻ¯ā§āĻā§āĻ¤ āĻāĻ°ā§āĻ¨āĨ¤ āĻļā§āĻ§ā§āĻŽāĻžāĻ¤ā§āĻ° āĻ¨āĻŋāĻ°ā§āĻĻāĻŋāĻˇā§āĻ āĻāĻŦāĻ āĻŦāĻŋāĻļā§āĻŦāĻ¸ā§āĻ¤ āĻĄā§āĻŽā§āĻāĻ¨ āĻĨā§āĻā§ āĻ¸ā§āĻā§āĻ°āĻŋāĻĒā§āĻ āĻ°āĻžāĻ¨āĻŋāĻā§ā§āĻ° āĻ āĻ¨ā§āĻŽāĻ¤āĻŋ āĻĻāĻŋāĻ¨ āĻāĻŦāĻ 'unsafe-inline' āĻŦā§āĻ¯āĻŦāĻšāĻžāĻ° āĻĨā§āĻā§ āĻŦāĻŋāĻ°āĻ¤ āĻĨāĻžāĻā§āĻ¨āĨ¤
# Nginx config for robust CSP add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://apis.google.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:;" always;
Live Security Headers & SRI Analyzer
āĻ°āĻŋāĻ¯āĻŧā§āĻ˛-āĻāĻžāĻāĻŽ āĻ¸āĻŋāĻāĻŋāĻāĻ°āĻŋāĻāĻŋ āĻĒāĻ˛āĻŋāĻ¸āĻŋ āĻ¸ā§āĻā§āĻ¯āĻžāĻ¨āĻžāĻ° (CORS āĻŦāĻžāĻāĻĒāĻžāĻ¸āĻĄ)