सुरक्षा
ज़्यादातर काम जलरेखा के नीचे होता है।
विज़िटर सिर्फ़ आपके पेज देखते हैं। उनके नीचे, हर Rogueberg साइट सुरक्षा की पाँच परतों पर टिकी है, जिन्हें हम सेट करते हैं, परखते हैं और जब तक होस्ट करते हैं, उन पर नज़र रखते हैं।
-
- TLS 1.3 और HSTS
- वेब एप्लिकेशन फ़ायरवॉल
- DDoS फ़िल्टरिंग
- लॉगिन और फ़ॉर्म पर रेट लिमिट
- बॉट प्रबंधन
-
- इनपुट की जाँच
- CSRF से सुरक्षा
- कंटेंट सिक्योरिटी पॉलिसी
- एडमिन के लिए टू-फ़ैक्टर लॉगिन
- ज्ञात CVE के लिए डिपेंडेंसी स्कैन
-
- न्यूनतम Linux इंस्टॉल
- सिर्फ़ की-आधारित SSH, रूट लॉगिन बंद
- डिफ़ॉल्ट रूप से सब रोकने वाला फ़ायरवॉल
- अपने-आप सुरक्षा अपडेट
- ब्रूट-फ़ोर्स हमलों पर रोक
-
- ट्रांज़िट और स्टोरेज दोनों में एन्क्रिप्शन
- संवेदनशील रिकॉर्ड के लिए अलग डेटाबेस
- न्यूनतम-अधिकार एक्सेस
- हर रात एन्क्रिप्टेड ऑफ़-साइट बैकअप
- रीस्टोर टेस्ट
-
- हर मिनट अपटाइम जाँच
- घुसपैठ और मैलवेयर अलर्ट
- लॉग की समीक्षा
- सर्टिफ़िकेट की समय-सीमा के अलर्ट
- मासिक सुरक्षा रिपोर्ट
लॉन्च से पहले की चेकलिस्ट
जब तक हर बॉक्स पर टिक न हो, कुछ भी लाइव नहीं होता।
हम हर प्रोजेक्ट पर यही चेकलिस्ट चलाते हैं, छह पेज की स्टार्टअप साइट से लेकर विश्वविद्यालय पोर्टल तक। हैंडओवर पर आपको इसकी हस्ताक्षरित कॉपी मिलती है।
- सारा ट्रैफ़िक HSTS के साथ HTTPS पर
- सुरक्षा हेडर और CSP लागू
- एडमिन हिस्से टू-फ़ैक्टर लॉगिन के पीछे
- कोई डिफ़ॉल्ट पासवर्ड या साझा की नहीं
- फ़ॉर्म और लॉगिन की OWASP Top 10 के आधार पर समीक्षा
- ज्ञात CVE के लिए डिपेंडेंसी स्कैन
- एक बैकअप टेस्ट सर्वर पर रीस्टोर करके देखा गया
- अलर्ट शुरू से आख़िर तक परखे गए
अगर कुछ गड़बड़ हो
आपको सबसे पहले हमसे पता चलता है, योजना के साथ।
- 1 · पहचान
जैसे ही कोई जाँच फ़ेल होती है या लॉग में कुछ असामान्य दिखता है, अपने-आप अलर्ट एक इंजीनियर तक पहुँचता है।
- 2 · रोकथाम
हम प्रभावित हिस्से को अलग करते हैं, स्रोत को ब्लॉक करते हैं और सबसे पहले आपके डेटा को सुरक्षित करते हैं।
- 3 · बहाली
हम कारण ठीक करते हैं और ज़रूरत हो तो साफ़, परखे हुए बैकअप से साइट वापस लाते हैं।
- 4 · रिपोर्ट
आपको लिखित रिपोर्ट मिलती है: क्या हुआ, हमने क्या बदला, और नियामकों के पास आपको क्या दाख़िल करना है।
उन नियमों को ध्यान में रखकर बना, जिनके प्रति आपकी संस्था जवाबदेह है।
हम ऐसे सिस्टम बनाते हैं जो अनुपालन को आसान बनाते हैं। औपचारिक प्रमाणन और क़ानूनी सलाह आपके ऑडिटर और वकीलों की ज़िम्मेदारी रहती है।
DPDP अधिनियम, 2023
सहमति नोटिस, नाबालिगों के लिए अभिभावक की सहमति, और ऐसा डेटा जिसे अनुरोध पर ढूँढा, निर्यात और मिटाया जा सके।
CERT-In निर्देश
लॉग सुरक्षित रखे जाते हैं और घटना का ब्योरा तैयार रहता है, ताकि रिपोर्ट करने योग्य घटनाएँ ज़रूरी 6 घंटों के भीतर दर्ज हो सकें।
GDPR
कुकी सहमति जो सच में काम करे, ज़रूरत पर EU में होस्टिंग, और ऐसे प्राइवेसी पेज जो साइट के असली काम से मेल खाएँ।
OWASP Top 10
हर फ़ॉर्म, लॉगिन और API को सबसे आम वेब एप्लिकेशन जोखिमों के आधार पर जाँचा जाता है।
अपनी मौजूदा साइट को लेकर चिंतित हैं?
हम इसकी समीक्षा करेंगे और साफ़-साफ़ बताएँगे कि क्या ठीक करना है, चाहे आप हमें काम दें या नहीं।