Checklist voor PHP-applicatieaudit

01

Context en eigendom

Wie neemt de beslissingen over het systeem, wie bedient het en wie begrijpt het?

Doelstellingen, gebruikers en kritieke processen zijn gedocumenteerd.Opslagplaatsen, domeinen, infrastructuur en leveranciers hebben eigenaren.De eigenaren van de business, het product, de code, de data en de operationele processen zijn bekend.Releaseperiodes en de tolerantie voor downtime zijn bekend.

02

Code en afhankelijkheden

Wat kan er veilig veranderd worden?

De PHP-, framework-, extensie- en Composer-versies worden in kaart gebracht.Het project wordt geïnstalleerd vanuit een schone kopie met behulp van geverifieerde instructies.De grenzen tussen domeinen, infrastructuur en interfaces zijn duidelijk.Verlaten afhankelijkheden en duplicaties worden geïdentificeerd.

03

Gegevens en integraties

Oorsprong, kwaliteit en consistentie.

Tabellen, volume, bewaartermijn en gevoelige gegevens worden geïdentificeerd.Schema-migraties worden geverifieerd, beoordeeld en zijn omkeerbaar.API's, webhooks, imports en geplande taken worden geïnventariseerd.Herhaalde pogingen voorkomen dubbele bewerkingen.

04

Beveiliging

Beheersmaatregelen met betrekking tot het daadwerkelijke risico.

Authenticatie, autorisatie en sessies volgen een vast beleid.Invoer, zoekopdrachten, HTML en bestanden worden contextueel gevalideerd.Geheimen en inloggegevens zijn niet in de repository opgenomen.Kwetsbare afhankelijkheden hebben een beoordelings- en reactieproces.

05

Testen en levering

Wijzigingen aanbrengen zonder op het geheugen te vertrouwen.

Kritieke processen zijn geautomatiseerd of beschikken over een gevalideerd testscript.Een representatieve omgeving valideert veranderingen.Een releaseproces omvat stappen, verantwoordelijken, controles en een terugdraaifunctie.De definitie van 'klaar' omvat beoordeling, tests en documentatie.

06

Operaties

Detecteren en herstellen.

Logbestanden kunnen gekoppeld zijn aan een relevant verzoek of een relevante bewerking.Statistieken en waarschuwingen koppelen impact aan actie.De back-ups zijn uitgevoerd en het herstel is getest.Runbooks bestaan voor incidenten en terugkerende taken.

Aanbevolen gebruik

Zet antwoorden om in beslissingen.

Voeg bij elk antwoord links naar bewijsmateriaal toe.
Maak onderscheid tussen directe risico's en structurele verbeteringen.
Wijs een eigenaar en een volgende controle toe aan elk onbekend item.
Zet de bevindingen om in een gefaseerd plan, niet in een platte lijst.

Volgende stap

Inhoud gerelateerd aan deze beslissing

Ga verder met diagnose, uitvoering of gerelateerde ervaring.