Praktyczne testy bezpieczeństwa dla QA — mindset, triage ZAP, kontrola dostępu, sesje i kontrole, które należą do CI.
5 / 5 części
← Wszystkie serieInżynierowie QA nie muszą stawać się specjalistami AppSec, aby wychwytywać typowe problemy bezpieczeństwa. Poznaj praktyczne zagrożenia bezpieczeństwa (XSS, błędy autoryzacji, IDOR, wycieki sekretów).
Odpal OWASP ZAP na buildzie stagingowym i zostaw tylko te znaleziska, z którymi deweloper może coś zrobić.
Szukaj błędów dostępu, które omija skaner: podmieniony identyfikator, niższa rola i dane innego użytkownika w odpowiedzi.
Sprawdź, że wylogowanie zabija sesję, ciasteczko ma flagi, a obca strona nie zmieni stanu, podpinając się pod ciasteczko.
Wstaw do CI skan sekretów, przegląd zależności i baseline ZAP. Blokuj build tylko tym, co już uznajecie za blokadę wydania.