SECURITY — Безопасность

┌─────────────────────────────────────────┐
│            ПОЛЬЗОВАТЕЛЬ                 │
├─────────────────────────────────────────┤
│  1. HTTPS + HSTS                        │
├─────────────────────────────────────────┤
│  2. WAF / Rate Limiting                 │
├─────────────────────────────────────────┤
│  3. Аутентификация / Авторизация        │
├─────────────────────────────────────────┤
│  4. Валидация данных                    │
├─────────────────────────────────────────┤
│  5. База данных (шифрование)            │
└─────────────────────────────────────────┘

server {
    listen 80;
    server_name example.com;
    return 301 https://$server_name$request_uri;
}

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # Современные настройки
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;

    # OCSP Stapling
    ssl_stapling on;
    ssl_stapling_verify on;
}

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

# Запрет встраивания в iframe
add_header X-Frame-Options "SAMEORIGIN" always;

# Защита от XSS
add_header X-Content-Type-Options "nosniff" always;
add_header X-XSS-Protection "1; mode=block" always;

# Referrer Policy
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# Permissions Policy
add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always;

add_header Content-Security-Policy "
    default-src 'self';
    script-src 'self' 'unsafe-inline' https://mc.yandex.ru https://www.google-analytics.com;
    style-src 'self' 'unsafe-inline' https://fonts.googleapis.com;
    img-src 'self' data: https: blob:;
    font-src 'self' https://fonts.gstatic.com;
    connect-src 'self' https://mc.yandex.ru https://www.google-analytics.com;
    frame-ancestors 'self';
    form-action 'self';
    base-uri 'self';
" always;

# Проверить заголовки
curl -I https://example.com

# Онлайн-проверка
# https://securityheaders.com
# https://observatory.mozilla.org

// Экранирование вывода
echo htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8');

// Twig (автоматически)
{{ user.name }}  {# экранируется #}
{{ user.bio|raw }}  {# НЕ экранируется - осторожно! #}

// Плохо
$query = "SELECT * FROM users WHERE id = " . $_GET['id'];

// Хорошо - prepared statements
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$_GET['id']]);

// Drupal - всегда использовать Database API
$query = \Drupal::database()->select('users', 'u')
    ->fields('u', ['name'])
    ->condition('uid', $uid)
    ->execute();

// Форма с токеном
<form method="POST">
    <input type="hidden" name="csrf_token" value="<?= $csrfToken ?>">
    ...
</form>

// Проверка токена
if (!hash_equals($_SESSION['csrf_token'], $_POST['csrf_token'])) {
    throw new Exception('CSRF token mismatch');
}

// Drupal - автоматически в Form API

# Уже в headers выше
add_header X-Frame-Options "SAMEORIGIN" always;

# Определение зоны
limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;
limit_req_zone $binary_remote_addr zone=login:10m rate=1r/s;

# Применение
location /api/ {
    limit_req zone=api burst=20 nodelay;
}

location /user/login {
    limit_req zone=login burst=5;
}

# /etc/fail2ban/jail.local
[nginx-limit-req]
enabled = true
filter = nginx-limit-req
action = iptables-multiport[name=nginx, port="http,https"]
logpath = /var/log/nginx/error.log
findtime = 600
maxretry = 10
bantime = 3600

// Хэширование
$hash = password_hash($password, PASSWORD_ARGON2ID);

// Проверка
if (password_verify($password, $hash)) {
    // OK
}

// Настройки PHP
ini_set('session.cookie_httponly', 1);
ini_set('session.cookie_secure', 1);
ini_set('session.cookie_samesite', 'Lax');
ini_set('session.use_strict_mode', 1);

// Регенерация ID после логина
session_regenerate_id(true);

// Шифрование чувствительных данных
$encrypted = openssl_encrypt(
    $cardNumber,
    'aes-256-gcm',
    $key,
    OPENSSL_RAW_DATA,
    $iv,
    $tag
);

// Хранить: $iv . $tag . $encrypted (base64)

#!/bin/bash
DATE=$(date +%Y%m%d_%H%M)
BACKUP_DIR="/backups"

# База данных
mysqldump -u root shop_db | gzip > $BACKUP_DIR/db_$DATE.sql.gz

# Файлы
tar -czf $BACKUP_DIR/files_$DATE.tar.gz /var/www/shop/

# Отправка в S3
aws s3 cp $BACKUP_DIR/db_$DATE.sql.gz s3://backups/
aws s3 cp $BACKUP_DIR/files_$DATE.tar.gz s3://backups/

# Удаление старых (7 дней)
find $BACKUP_DIR -mtime +7 -delete

{
  "timestamp": "2025-12-21T12:00:00Z",
  "level": "WARNING",
  "event": "login_failed",
  "user_id": null,
  "ip": "192.168.1.1",
  "user_agent": "Mozilla/5.0...",
  "details": {
    "email": "u***@mail.ru",
    "reason": "invalid_password",
    "attempt": 3
  }
}

# Ограничение соединений
limit_conn_zone $binary_remote_addr zone=conn:10m;
limit_conn conn 20;

# Ограничение запросов
limit_req_zone $binary_remote_addr zone=req:10m rate=5r/s;
limit_req zone=req burst=10 nodelay;

# Таймауты
client_body_timeout 10s;
client_header_timeout 10s;
keepalive_timeout 15s;
send_timeout 10s;

<!-- Honeypot -->
<input type="text" name="website" style="display:none" tabindex="-1">

<!-- Проверка на сервере -->
if (!empty($_POST['website'])) {
    // Бот
    exit;
}

# Ubuntu - автообновления безопасности
apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades

# Composer audit
composer audit

# npm audit
npm audit
npm audit fix

# Проверка обновлений
drush pm:security

# Обновление
composer update drupal/core --with-dependencies
drush updatedb
drush cache:rebuild

Подозрение на взлом:
1. Изолировать сервер (отключить от сети)
2. Сохранить логи и состояние
3. Уведомить: security@company.com
4. Не удалять улики
5. Документировать всё

Утечка данных (152-ФЗ):
1. Уведомить Роскомнадзор (72 часа)
2. Уведомить пострадавших
3. Принять меры по устранению