Lista de verificação para auditoria de aplicações PHP

01

Contexto e propriedade

Quem decide, opera e compreende o sistema.

Os objetivos, usuários e fluxos críticos são documentados.Repositórios, domínios, infraestrutura e fornecedores têm proprietários.Os responsáveis pelos negócios, produtos, código, dados e operações são conhecidos.Os prazos de lançamento e a tolerância a períodos de inatividade são compreendidos.

02

Código e dependências

O que pode ser alterado com segurança.

São feitas verificações nas versões do PHP, frameworks, extensões e Composer.O projeto é instalado a partir de uma cópia limpa, seguindo instruções verificadas.Os limites de domínio, infraestrutura e interface são compreensíveis.Dependências abandonadas e duplicações foram identificadas.

03

Dados e integrações

Origem, qualidade e consistência.

Tabelas, volume, retenção e dados sensíveis são identificados.As migrações de esquema são versionadas, revisadas e reversíveis.São inventariados APIs, webhooks, importações e tarefas agendadas.As tentativas impedem operações duplicadas.

04

Segurança

Controles relacionados ao risco real.

A autenticação, autorização e sessões seguem uma política conhecida.Entradas, consultas, HTML e arquivos são validados pelo contexto.Os segredos e as credenciais não estão incorporados no repositório.As dependências vulneráveis possuem um processo de avaliação e resposta.

05

Testes e entrega

Alterar sem depender da memória.

Os fluxos críticos possuem automação ou um script de teste verificado.Um ambiente representativo valida as mudanças.A liberação envolve etapas, responsáveis, verificações e reversão.A definição de "concluído" inclui revisão, testes e documentação.

06

Operações

Detectar e recuperar.

Os registros podem seguir uma solicitação ou operação relevante.Métricas e alertas relacionam o impacto à ação.Os backups foram executados e a restauração foi testada.Existem manuais de procedimentos (runbooks) para incidentes e tarefas recorrentes.

Uso recomendado

Transformar respostas em decisões

Reúna links que comprovem a evidência junto com cada resposta.
Separe o risco imediato da melhoria estrutural.
Atribua um responsável e defina a próxima verificação para cada item desconhecido.
Transforme as descobertas em um plano faseado, não em uma lista estática.

Próximo passo

Conteúdo relacionado a esta decisão

Prossiga com o diagnóstico, a execução ou a experiência relacionada.