الأسرار لا توضع في تطبيق

المفاتيح والرموز وكلمات السرّ يقرؤها كلُّ من يفتح المصدر. وأين تذهب بدلًا من ذلك. وهذه أقصر قاعدةٍ في الوحدة وذات أعظم عاقبةٍ حين تُكسَر. وكلُّ ما في تطبيقك يُنزَّل إلى المتصفّح، وذلك يعني أنه مقروء. مفتاحًا في دالّة JavaScript، أو في قيمةٍ افتراضية لمتغيّر، أو في رأسٍ مُعَدٍّ على اتّصال، أو في تعليق — كلُّه يصل آلة المستخدم، ولا شيء منه مُبهَمٌ بكونه داخل أداةٍ بصرية. ومفتاحٌ بلغ مستخدمًا واحدًا قد بلغ كل مستخدم. فليس كشفًا للفضولي الذي نظر؛ بل كشفًا لكل من حمّل الصفحة قط، رجعيًّا ودائمًا، ولا سبيل لمعرفة من يملك نسخة. وما يجعل هذا أسوأ من الدروس الأخرى أن المفتاح أقوى من التطبيق غالبًا. مفتاحَ واجهةٍ لخدمة طرفٍ ثالث، ورمزًا لنظامٍ يقرأ تطبيقك نقطةً واحدة منه — فالاعتماد يمنح كثيرًا أكثر بكثير مما تستعمله الصفحة. رابع نتائج الدرس ١٠، والضرر غير محدودٍ بما يفعله تطبيقك. وأين تذهب بدلًا من ذلك جانبُ الخادم، وثمّة أجوبةٌ صادقة قليلة. اتّصال…

في هذه الوحدة: الوحدة ١١ · الأمان: من يرى ماذا

1. ١أين يقع حد الثقة
2. ٢الترشيح في الواجهة ليس أمانًامعاينة مجانية
3. ٣إخفاء الحقل يرسله على أي حال
4. ٤رشّح عند المصدر
5. ٥تمرير الهوية كما ينبغي
6. ٦الأدوار داخل تطبيقك
7. ٧تأمين نقاط نهاية كائنات الأعمال
8. ٨الأسرار لا توضع في تطبيق
9. ٩ما ينتهي في سجل أو في عنوان
10. ١٠ما الذي ينكسر: أربع نتائج أمنية
11. ١١تمهيد التدريب · هاجم تطبيقك أنت