Как защитаваме този сайт

Техническите мерки, с които е изграден и защитен ofsec.org. Можете да ги проверите сами.

Последна актуализация:

Препоръчваме на клиентите си мерки, които прилагаме и в собствения си сайт. Повечето от тях могат да бъдат проверени публично.

Архитектура

  • Сайтът е една компилирана програма на Go. Съдържанието е вградено в нея, а сървърът не записва нищо на диска.
  • Няма система за управление на съдържанието, база данни, администраторски панел и плъгини, тоест няма какво да бъде хакнато през тях.
  • Програмата работи с ограничени права в изолирана среда на операционната система.

Защита при доставката

  • Сървърът приема заявки само от мрежата на Cloudflare. Връзката между Cloudflare и сървъра е криптирана и удостоверена със сертификат.
  • Всички връзки са по HTTPS, а браузърите получават указание да не използват некриптирана връзка (HSTS).

Защита в браузъра

  • Политиката за сигурност на съдържанието (Content Security Policy) забранява зареждането на скриптове, стилове и шрифтове от други сайтове, както и вградения код в страниците.
  • Сайтът не използва бисквитки, проследяващи скриптове и външни услуги.
  • Страниците не могат да бъдат вграждани в чужди сайтове, а браузърът получава указание да не изпраща излишна информация към други сайтове.

Формуляри

  • Всички данни се проверяват на сървъра: задължителни полета, дължина, формат на имейла и ЕИК.
  • Прикачените файлове се приемат само като PNG, JPG, PDF, TXT или EML, с ограничен размер, и съдържанието им се проверява дали отговаря на типа.
  • Броят на заявките от един адрес е ограничен, а автоматизираните изпращания се отхвърлят.
  • Формулярът не съхранява данни и не изпраща писма до въведения адрес, затова не може да бъде използван за изпращане на спам.

Поща

  • Домейнът има записи SPF, DKIM и DMARC с политика p=reject: писма, които не са изпратени от нашите сървъри, се отхвърлят от получателите.
  • Адресът за сигнали за уязвимости е публикуван в /.well-known/security.txt.

Проверете сами

Заглавките за сигурност на сайта могат да бъдат проверени с инструменти като Mozilla Observatory и securityheaders.com. Ако откриете проблем, моля, съобщете ни според политиката за разкриване на уязвимости.