Безопасность

Коротко о том, как устроена безопасность сайта и как сообщить об уязвимости, если ты её нашёл.

Транспорт

Сайт работает только по HTTPS, с HSTS и современными заголовками безопасности: Content-Security-Policy, X-Frame-Options, Referrer-Policy, Permissions-Policy.

Данные

Минимизация по умолчанию: на сайте нет аккаунтов и паролей, аналитика работает без cookie. Секреты и ключи хранятся только в переменных окружения, никогда — в коде.

Инфраструктура

Сайт собирается статически, поэтому серверная поверхность атаки минимальна. Формы и почта, когда они подключены, обрабатываются через серверные эндпоинты, а не на стороне клиента.

Ответственное раскрытие

Нашёл проблему — напиши в Telegram @MishokMi с описанием и шагами воспроизведения. Отвечу как можно быстрее.

• Пожалуйста, не раскрывай уязвимость публично до того, как она будет исправлена.
• Не проводи атаки на отказ в обслуживании (DoS), спам и тесты, которые портят или раскрывают данные других людей.
• Тестируй только в рамках того, что необходимо для подтверждения проблемы.

Благодарности

С удовольствием упомяну исследователей, которые помогли сделать сайт безопаснее, — с их согласия.