Varovanje osebnih podatkov!

heatsink: ce se ne spoznas na varnost, potem bo bolj tezko. Najami koga, ki o tem ve veliko.

Najbolje je, ce podatkov o karticah sploh ne shranis nikamor.

Ce jih moras shranjevat, potem se splaca razmislit o racunalniku, ki ni prikljucen v omrezje in ima podatke shranjene na kriptiranem datotecnem sistemu. Vsak konec delavnika lahko nekdo vzame kasetko iz streznika s spletno trgovino in jo vstavi v ta offline racunalnik, potem pa jo zjutraj nese nazaj.

Ce mislis, da si sposoben varovati streznik, kjer tece aplikacija, potem seveda pazi, kaj programiras:

- nikoli ne zaupaj nobenemu vhodnemu podatku, podatkom iz html formov, piskotkom ali cemurkoli kar pride od uporabnikovega brskalnika, ker se vse da manipulirat.

- zelo pazi, kaj dajes v SQL poizvedbe, ce je le mozno uporabljaj escape funkcijo od baze, da ti pravilno escapa vse sumljive znake (narekovaje, podpicja in druge potencialno nevarne znake).

- uporabniku ponudi moznost, da se odjavi in pri tem unici lokalno kopijo njegove seje da tudi ce piskotek kasneje spet uporabi ga dejansko ne mores povezati z nobenim osebnim podatkom.

- v vsakem primeru vedno uporabljaj HTTPS in spletni streznik konfiguriraj tako, da vrne napako (403 forbidden, recimo), ce uporabnik do strani poskusa dostopat preko HTTP.

- pazi na firewall, vse naj bo prepovedano, potem pa dovoli le tisto, kar je nujno za delovanje: vrata 80 (http) in 443 (https) za cel svet, mogoce SSH iz tvojega IP naslova, ce imas staticnega, sicer naj bo raje zaprt.

- redno namescaj varnostne popravke, najbolje z orodjem ki to pocne avtomatsko