چک‌لیست امنیت وب بر اساس OWASP برای مدیران فنیOWASP-based web security checklist for technical leaders

OWASP Top 10 فهرستی از مهم‌ترین ریسک‌های امنیتی اپلیکیشن‌های وب است که تیم‌های فنی در سراسر جهان برای اولویت‌بندی دفاع از آن استفاده می‌کنند. این مقاله یک چک‌لیست اجرایی برای مدیران فنی است، نه جایگزین تست نفوذ.OWASP Top 10 lists the most critical web application security risks teams worldwide use to prioritize defense. This article is an actionable checklist for technical leaders — not a substitute for penetration testing.

چرا OWASP برای سازمان مهم است؟Why OWASP matters for organizations

زبان مشترک بین تیم توسعه، امنیت و مدیریت ایجاد می‌کند. وقتی می‌گویید «Broken Access Control» همه می‌فهمند منظور کنترل نقش‌ها و دسترسی افقی/عمودی است — نه یک CVE مبهم.It creates a shared language between engineering, security and management. Saying “Broken Access Control” points to role and horizontal/vertical privilege issues — not an obscure CVE.

چک‌لیست اولویت‌دار قبل از لانچ یا ممیزیPriority checklist before launch or audit

• ورودی‌های کاربر در سرور اعتبارسنجی و خروجی‌ها escape می‌شوندUser input is validated server-side and outputs are escaped
• دسترسی به API و آبجکت‌ها بر اساس هویت و نقش enforce می‌شودAPI and object access is enforced by identity and role
• رمزها هش امن دارند؛ نرخ تلاش ورود محدود شده استPasswords use strong hashing; login attempts are rate-limited
• کوکی نشست HttpOnly، Secure و SameSite مناسب داردSession cookies use HttpOnly, Secure and appropriate SameSite
• HTTPS اجباری است؛ هدرهای امنیتی پایه تنظیم شده‌اندHTTPS is enforced; baseline security headers are set
• آپلود فایل نوع، اندازه و مسیر ذخیره را محدود می‌کندFile uploads restrict type, size and storage path
• لاگ امنیتی رویدادهای حساس را بدون افشای راز ثبت می‌کندSecurity logs capture sensitive events without leaking secrets
• وابستگی‌ها و ایمیج‌ها برای CVEهای شناخته‌شده پایش می‌شوندDependencies and images are monitored for known CVEs

احراز هویت و مدیریت نشستAuthentication and session management

بسیاری از رخدادها از بازیابی رمز ضعیف، توکن‌های بلندعمر در localStorage یا نبود MFA برای پنل ادمین شروع می‌شود. حداقل برای نقش‌های حساس MFA و چرخش توکن را جدی بگیرید.Many incidents start with weak password recovery, long-lived tokens in localStorage or missing MFA on admin panels. At minimum, treat MFA and token rotation as mandatory for sensitive roles.

کنترل دسترسی: جایی که بیشترین پول از دست می‌رودAccess control: where the most money is lost

آیا کاربر A می‌تواند با تغییر یک ID به دادهٔ کاربر B برسد؟ آیا نقش فروش به تنظیمات سیستم دسترسی دارد؟ این سوال‌ها باید با تست دستی و خودکار پاسخ داده شوند — دقیقاً همان چیزی که در تست نفوذ وبسایت عمیق بررسی می‌شود.Can user A change an ID and reach user B’s data? Can sales roles reach system settings? Those questions need manual and automated answers — exactly what a deep website penetration test examines.

قدم بعدی بعد از چک‌لیستWhat to do after the checklist

چک‌لیست نقطهٔ شروع است. برای سامانه‌های در معرض اینترنت، یک ارزیابی مستقل ضروری است. با لومورا هماهنگ کنید تا محدودهٔ تست و اولویت رفع مشخص شود.A checklist is a starting point. Internet-facing systems need an independent assessment. Coordinate with Lumora to define scope and remediation priorities.