Checkliste für PHP-Anwendungsprüfungen

01

Kontext und Eigentumsverhältnisse

Wer entscheidet über das System, bedient es und versteht es?

Ziele, Nutzer und kritische Abläufe werden dokumentiert.Repositories, Domains, Infrastruktur und Lieferanten haben Eigentümer.Die Verantwortlichen für Geschäft, Produkt, Code, Daten und Betrieb sind bekannt.Release-Fenster und Toleranzgrenzen für Ausfallzeiten sind bekannt.

02

Code und Abhängigkeiten

Was kann gefahrlos verändert werden?

PHP-, Framework-, Erweiterungs- und Composer-Versionen werden erfasst.Das Projekt wird anhand einer sauberen Kopie und verifizierter Anweisungen installiert.Domänen-, Infrastruktur- und Schnittstellengrenzen sind verständlich.Aufgegebene Abhängigkeiten und Duplikate werden identifiziert.

03

Daten und Integrationen

Herkunft, Qualität und Beständigkeit.

Tabellen, Volumen, Aufbewahrung und sensible Daten werden identifiziert.Schema-Migrationen werden versioniert, überprüft und sind reversibel.APIs, Webhooks, Importe und geplante Jobs werden inventarisiert.Wiederholungsversuche verhindern doppelte Operationen.

04

Sicherheit

Kontrollmaßnahmen im Zusammenhang mit dem tatsächlichen Risiko.

Authentifizierung, Autorisierung und Sitzungen folgen einer festgelegten Richtlinie.Eingaben, Abfragen, HTML-Code und Dateien werden kontextbezogen validiert.Geheimnisse und Zugangsdaten sind nicht im Repository eingebettet.Für anfällige Abhängigkeiten gibt es einen Bewertungs- und Reaktionsprozess.

05

Testen und Ausliefern

Veränderung ohne sich auf das Gedächtnis zu verlassen.

Kritische Abläufe verfügen über Automatisierung oder ein verifiziertes Testskript.Eine repräsentative Umgebung bestätigt Veränderungen.Ein Release umfasst Schritte, Verantwortliche, Prüfungen und einen Rollback.Die Definition von „Fertig“ umfasst Überprüfung, Tests und Dokumentation.

06

Betrieb

Erkennen und Wiederherstellen.

Protokolle können einer entsprechenden Anfrage oder Operation folgen.Kennzahlen und Warnmeldungen verknüpfen Auswirkungen mit Maßnahmen.Die Datensicherung läuft und die Wiederherstellung wurde getestet.Für Vorfälle und wiederkehrende Aufgaben existieren Runbooks.

Empfohlene Verwendung

Antworten in Entscheidungen umwandeln

Sammeln Sie zu jeder Antwort Beleglinks.
Das unmittelbare Risiko muss von der strukturellen Verbesserung getrennt werden.
Weisen Sie jedem unbekannten Element einen Besitzer zu und führen Sie anschließend eine Überprüfung durch.
Die Ergebnisse in einen Stufenplan umzuwandeln, nicht in eine statische Liste.

Nächster Schritt

Inhalte im Zusammenhang mit dieser Entscheidung

Fahren Sie mit der Diagnose, der Durchführung oder ähnlichen Erfahrungen fort.