¿Cómo aseguro mi inicio de SaaS?

Está bien, esta respuesta no es exhaustiva, ya que esta es una pregunta grande, pero justo en la parte superior de mi cabeza hay algunos pensamientos:

GIT:
Es bueno que hagas las combinaciones por tu cuenta, ¿eso significa que vas a manejar todas las diferencias? Si no va a hacerlo, la confianza del programador podría ser un POF, pero si va a depender de la cantidad de fusiones que pasen mucho tiempo haciendo todo lo posible.

Programación / Framework:
Es posible que desee tener cuidado al deshabilitar CSRF, siempre que haga eso y tenga flash, puede haber algunas proezas desagradables. La mejor opción para evitarlos es asegurarse de tener un manejo de sesión realmente sólido y verificar verificar verificar cada vez que un usuario acceda a un recurso. Puede encontrar más información sobre temas CSRF comunes aquí: Preguntas frecuentes sobre CSRF . Además, tenga cuidado con esta vulnerabilidad . No tengo mucha familiaridad con CakePHP, pero lo mejor es asegurarse de limpiar, agregar listas blancas si es posible, usar ACL, etc. Here es una forma muy básica de agregar un poco de seguridad adicional a su instancia de CakePHP.

Seguridad del servidor:
No tengo mucha experiencia con Capistrano, pero por lo que he oído es una herramienta bastante sólida, siempre y cuando hayas tomado un tenedor confiable. Sería más consciente de las vulnerabilidades en el manejo de SSH en sí mismo, ya que me parece que es donde es más probable que se pueda explotar el capistrano. En cuanto a la seguridad del servidor web, creo que Amazon es una de las mejores opciones que existen.

SSL:
Yo sería muy desconfiado de un comodín cert. Si uno de sus subdominios está comprometido, también lo estará toda su red. Todo lo que necesita es una autoridad de certificación con una vulnerabilidad y todos sus clientes y sus datos se verán comprometidos. Ya que está haciendo comercio electrónico, es realmente importante tener los niveles más altos de seguridad para los datos de los clientes.

Resumen:
Con todo, realmente recomendaría contratar a un profesional de seguridad de aplicaciones web que sea creíble en el campo y tenga experiencia para echar un vistazo a su aplicación. Dado que tratará con datos financieros, que es uno de los tipos más sensibles, es muy importante tener una visión exhaustiva y sólida de su software. Sé que es difícil cuando recién empiezas, pero si no te tomas el tiempo de proteger tu aplicación por completo, un exploit podría acabar con todo tu negocio.

Espero que ayude :)

1) Lo primero y más importante es dominar OWASP Top 10 . / p>

2) Instale un Firewall de aplicaciones web . Son requeridos por la industria de tarjetas de pago por una razón (PCI-DSS).

3) Bloqueo de PHP con PHPSecInfo .

5) Cierre su base de datos .

6) Use el análisis de código estático como RIPS-PHP para localizar vulnerabilidades graves en su código.

7) Usa Linux, especialmente Ubuntu, porque AppArmor rompe las vulnerabilidades.

8) Por último, pero no menos importante, pruebe su aplicación web de código para detectar vulnerabilidades. Esto no tiene que costar mucho dinero, Sitewatch tiene un servicio gratuito de análisis de vulnerabilidades.

Además de los comentarios de @Rook, si estuviera ejecutando un servidor en Internet, recomendaría encarecidamente el uso de OSSEC. Gran análisis de registro gratuito / software HIDS. Lo ejecuto en todo mi kit público.

Para agregar al aspecto de alojamiento : AWS facilita un modelo de responsabilidad compartida que ilustra qué partes cubren y cuáles necesita el cliente para cuidar:

Esosignificaqueespecialmentelaaplicaciónylosdatosentránsitodebenserprotegidosporusted,porejemplo.implementandolasyamencionadas directrices de OWASP .