Υλοποίηση και ασφάλεια

Η διαφορά ανάμεσα σε μια εφαρμογή που δουλεύει και σε μια που αντέχει φαίνεται δύο χρόνια μετά την παράδοση, όταν κάποιος πρέπει να την αλλάξει ή όταν δεχτεί την πρώτη σοβαρή επίθεση.

Γράφουμε κώδικα που διαβάζεται, τεκμηριώνεται και ελέγχεται. Η ασφάλεια δεν προστίθεται στο τέλος.

Πώς γράφουμε

• Κώδικας που διαβάζεται. Σταθερά πρότυπα ονοματοδοσίας και δομής, ώστε οποιοσδήποτε developer να μπορεί να συνεχίσει τη δουλειά.
• Κάθε λειτουργία κάνει ένα πράγμα. Μικρές, ελέγξιμες μονάδες αντί για χιλιάδες γραμμές που κάνουν τα πάντα.
• Τεκμηρίωση μαζί με τον κώδικα. Τι κάνει, τι δέχεται, τι επιστρέφει, γιατί γράφτηκε έτσι.
• Γράφουμε αντί να συναρμολογούμε. Δεν στοιβάζουμε πρόσθετα τρίτων για να καλύψουμε μια ανάγκη κατά προσέγγιση.
• Έλεγχος εκδόσεων σε κάθε αλλαγή, με δυνατότητα επιστροφής σε προηγούμενη κατάσταση.

Ασφάλεια στα δεδομένα

• Παραμετροποιημένα ερωτήματα σε κάθε πρόσβαση στη βάση. Καμία σύνθεση SQL με είσοδο χρήστη, καμία δυνατότητα SQL injection.
• Έλεγχος και καθαρισμός εισόδου πριν αποθηκευτεί οτιδήποτε. Τύπος, μήκος, μορφή, εύρος τιμών.
• Διαφυγή εξόδου σε κάθε σημείο που εμφανίζεται περιεχόμενο, ώστε να μην εκτελείται ξένος κώδικας στον browser του επισκέπτη.
• Ξεχωριστά δικαιώματα βάσης ανά περιβάλλον. Η εφαρμογή δεν τρέχει ποτέ με δικαιώματα διαχειριστή βάσης.

Ασφάλεια στην πρόσβαση

• Κρυπτογραφημένοι κωδικοί με σύγχρονο αλγόριθμο και αυτόματη αναβάθμιση όταν αλλάζουν τα πρότυπα. Κανένας κωδικός δεν αποθηκεύεται σε αναγνώσιμη μορφή.
• Προστασία από δοκιμές κωδικών. Όριο προσπαθειών ανά διεύθυνση και ανά λογαριασμό, με προσωρινό αποκλεισμό.
• Ασφαλείς συνεδρίες. Cookies με προστασία από κλοπή και πλαστογραφία, ανανέωση αναγνωριστικού στη σύνδεση.
• Προστασία φορμών με μοναδικά διακριτικά, ώστε καμία ενέργεια να μην εκτελείται από άλλο site εν αγνοία του χρήστη.
• Ασφαλής επαναφορά κωδικού με χρονικά περιορισμένα, κρυπτογραφημένα διακριτικά μιας χρήσης.
• Χωρίς αποκάλυψη πληροφορίας στα μηνύματα σφάλματος. Το σύστημα δεν λέει σε κανέναν αν ένας λογαριασμός υπάρχει.

Έλεγχος χρηστών

• Ρόλοι και δικαιώματα ανά λειτουργία. Ο καθένας βλέπει και αλλάζει μόνο ό,τι του αναλογεί.
• Ημερολόγιο ενεργειών. Ποιος έκανε τι και πότε, με δυνατότητα αναζήτησης. Απαραίτητο όταν κάτι πάει στραβά.
• Υποχρεωτική αλλαγή αρχικού κωδικού στην πρώτη σύνδεση.
• Απενεργοποίηση αντί για διαγραφή λογαριασμών, ώστε το ιστορικό ενεργειών να παραμένει ακέραιο.

Ασφάλεια στον διακομιστή

• Υποχρεωτική κρυπτογραφημένη σύνδεση σε όλο το site, με αυτόματη ανακατεύθυνση και δήλωση αυστηρής πολιτικής στον browser.
• Κεφαλίδες ασφαλείας που περιορίζουν τι επιτρέπεται να φορτώσει και να εκτελέσει η σελίδα.
• Κλειδωμένοι φάκελοι ρυθμίσεων, αντιγράφων και αρχείων καταγραφής. Τίποτα ευαίσθητο δεν είναι προσβάσιμο από το διαδίκτυο.
• Διαχωρισμός ρυθμίσεων από κώδικα. Κανένα συνθηματικό μέσα στα αρχεία της εφαρμογής.
• Έλεγχος αρχείων που ανεβάζουν οι χρήστες ως προς τύπο, μέγεθος και περιεχόμενο, με αποθήκευση εκτός εκτελέσιμης διαδρομής.

Αντίγραφα και συνέχεια λειτουργίας

• Αυτόματα αντίγραφα κώδικα και βάσης, με διατήρηση ιστορικού.
• Δοκιμασμένη επαναφορά. Ένα αντίγραφο που δεν έχει δοκιμαστεί δεν είναι αντίγραφο.
• Παρακολούθηση λειτουργίας με ειδοποίηση πριν το πρόβλημα γίνει ορατό στους πελάτες σου.
• Καταγραφή σφαλμάτων σε αρχείο, όχι στην οθόνη του επισκέπτη.

Πριν την παράδοση

1. Δοκιμή με πραγματικά δεδομένα. Όχι με τρεις δοκιμαστικές εγγραφές, αλλά με τον όγκο και τις ιδιαιτερότητες που έχεις στην πραγματικότητα.
2. Δοκιμή από τους χρήστες. Οι άνθρωποι που θα το χρησιμοποιούν το δοκιμάζουν πριν μπει σε λειτουργία.
3. Έλεγχος ταχύτητας σε κινητό και σταθερό, με μέτρηση και διόρθωση.
4. Έλεγχος ασφαλείας στα σημεία εισόδου: φόρμες, ανέβασμα αρχείων, παράμετροι διεύθυνσης.
5. Εκπαίδευση με οδηγό χρήσης στα ελληνικά.

Τι παραδίδεται

Μετά την παράδοση

Το σύστημα δεν σταματά να χρειάζεται προσοχή την ημέρα που μπαίνει σε λειτουργία. Οι πρώτες εβδομάδες φέρνουν πάντα ρυθμίσεις, γιατί η πραγματική χρήση αποκαλύπτει πράγματα που καμία δοκιμή δεν πιάνει.

Προσφέρουμε υποστήριξη και συντήρηση, αλλά δεν είναι υποχρεωτική. Αν επιλέξεις άλλον συνεργάτη ή δική σου ομάδα, ο κώδικας και η τεκμηρίωση είναι εκεί.

Τι κοστίζει

Η ασφάλεια δεν είναι πρόσθετη υπηρεσία με ξεχωριστή χρέωση. Είναι μέρος του τρόπου που γράφουμε και περιλαμβάνεται σε κάθε έργο.

Το κόστος της υλοποίησης προκύπτει από την ανάλυση και δίνεται γραπτά, σε φάσεις, με σταθερό ποσό ανά φάση. Η πρώτη κουβέντα των είκοσι λεπτών δεν χρεώνεται.

Συχνές ερωτήσεις

Τι γίνεται αν δεχτώ επίθεση;

Οι προστασίες που περιγράφονται παραπάνω καλύπτουν τις συνηθισμένες κατηγορίες επιθέσεων. Σε περίπτωση συμβάντος υπάρχουν αντίγραφα με δοκιμασμένη επαναφορά και αρχεία καταγραφής για να βρεθεί τι συνέβη.

Συμμορφώνεται με τον GDPR;

Τα συστήματα σχεδιάζονται με ελάχιστη συλλογή δεδομένων, ρητή συγκατάθεση όπου απαιτείται, δυνατότητα εξαγωγής και διαγραφής στοιχείων, και καταγραφή πρόσβασης σε προσωπικά δεδομένα.

Ποιος έχει πρόσβαση στα δεδομένα μου;

Εσύ και όποιος του δώσεις πρόσβαση. Κατά την ανάπτυξη χρειαζόμαστε πρόσβαση για να δουλέψουμε. Μετά την παράδοση, αν το θελήσεις, καταργείται.

Τι γίνεται αν βρεθεί σφάλμα μετά την παράδοση;

Τα σφάλματα που προέρχονται από δική μας υλοποίηση διορθώνονται χωρίς χρέωση. Οι νέες λειτουργίες είναι νέα δουλειά και κοστολογούνται ξεχωριστά.

Πόσο συχνά χρειάζεται ενημέρωση;

Οι ενημερώσεις ασφαλείας εφαρμόζονται μόλις βγουν. Οι λειτουργικές αλλαγές γίνονται όποτε τις χρειαστείς, όχι με υποχρεωτικό ρυθμό.

Δουλεύετε πάνω σε υπάρχον σύστημα;

Ναι, αν ο κώδικας είναι προσβάσιμος και σε κατάσταση που επιτρέπει παρέμβαση. Το ελέγχουμε πρώτα και σου λέμε ειλικρινά αν συμφέρει η διόρθωση ή η αντικατάσταση.

Δες πώς έγινε

• Παρακολούθηση με ειδοποίηση πριν πέσει κάτιΠρόληψη αντί για αντίδραση
• Μεταφορά από εγκαταλελειμμένο σύστημα χωρίς απώλεια δεδομένωνΌταν ο προηγούμενος συνεργάτης εξαφανίστηκε
• Ψηφιακό δελτίο εργασίας για συνεργεία εγκαταστάσεωνΡόλοι και δικαιώματα στην πράξη

Σχετικά

• Ο προγραμματιστής μου εξαφανίστηκε
• Το site μου έπεσε
• Πώς δουλεύουμε: χρόνοι, φάσεις και ποιος έχει τον κώδικα