راهنمای تخصصی
امنیت ورود به حساب | گذرواژه، نشست و کد تأیید
چکلیست حفاظت از حساب آنلاین با تکیه بر راهنماهای OWASP و NIST.
حساب کاربری معمولاً با سه نقطه حساس روبهرو است: هویت کاربر، نشست فعال و مسیر بازیابی دسترسی. امنیت واقعی به مجموعهای از کنترلها وابسته است و صرف داشتن یک رمز پیچیده به تنهایی کافی نیست.
چکلیست حفاظت از حساب آنلاین با تکیه بر راهنماهای OWASP و NIST.
گذرواژه بلند و منحصربهفرد
از گذرواژهای طولانی که در هیچ سرویس دیگری استفاده نشده کمک بگیرید. برنامه مدیریت رمز معتبر میتواند تولید و نگهداری رمزهای متفاوت را آسانتر کند. تغییر مکرر بدون دلیل امنیتی یا استفاده از الگوهای قابلحدس مانند تکرار عدد، جایگزین کیفیت رمز نیست.
مدیریت نشست فعال
پس از ورود از دستگاه مشترک، خروج از حساب و مرور نشستهای باز اهمیت دارد. اگر گزینه پایان همه نشستها وجود دارد، باید آن را از داخل محیط معتبر همان سرویس و با توجه به راهنمای رسمی استفاده کرد.
کوکی مرورگر ممکن است توکن نشست را نگهداری کند. انتشار فایل خروجی مرورگر یا تصویر حاوی توکن میتواند مخاطرهآمیز باشد.
کد تأیید و بازیابی
کد یکبارمصرف، لینک بازیابی و پاسخ سؤال امنیتی اطلاعات محرمانهاند. هیچ شخص ثالثی نباید برای «تسریع بررسی» درخواست ارسال این موارد را داشته باشد. اگر پیام بازیابی ناخواسته دریافت کردید، از بازکردن لینک مشکوک خودداری کنید.
زمان مناسب واکنش به فعالیت مشکوک
- از مسیر مستقل و معتبر به تنظیمات امنیت بروید.
- در صورت امکان گذرواژه را تغییر دهید.
- نشستهای فعال و پیامهای جدید را بررسی کنید.
- گزارش رخداد را بدون داده حساس تهیه کنید.
- از کانال مستند ارائهدهنده پیگیری کنید.
منابع و چارچوب بررسی
منابع زیر برای بررسی اصول فنی و آموزشی معرفی شدهاند؛ وجود آنها تأیید عملکرد یک سرویس تجاری مشخص نیست.