hardening-siti

# Hardening Siti Quando si costruisce o si modifica un sito/app, applicare SEMPRE queste regole di sicurezza senza che l'utente debba chiederlo. Segnalare nel riepilogo finale quali protezioni sono state applicate. ## Regole obbligatorie ### 1. Security headers Applicare su ogni risposta HTML: ``` Strict-Transport-Security: max-age=31536000; includeSubDomains X-Content-Type-Options: nosniff X-Frame-Options: DENY Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(), microphone=(), geolocation=() Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none' ``` In Node/Express usare `helmet()`. In Django attivare `SECURE_*` settings. Su hosting statico (Netlify/Vercel/GitHub Pages) usare il file headers della piattaforma. Adattare la CSP alle risorse reali del sito (CDN, font, analytics) — mai usare `unsafe-inline` per gli script; preferire nonce o hash. ### 2. Input e output - Validare OGNI input lato server (tipo, lunghezza, formato, whitelist). La validazione client è solo UX. - Query al database SOLO parametrizzate o via ORM. Mai concatenare stringhe in SQL. - Escapare l'output nei template (autoescaping attivo). Mai inserire input utente in `innerHTML`, `eval`, attributi evento o URL senza sanitizzazione. - Path file: mai costruire percorsi da input utente; usare ID mappati o `path.basename` + directory fissa. ### 3. Cookie e sessioni - Cookie di sessione: `HttpOnly; Secure; SameSite=Lax` (o `Strict` per azioni sensibili). - Rigenerare l'ID sessione al login. Scadenza assoluta e per inattività. - Protezione CSRF su ogni form/azione che modifica stato (token CSRF o SameSite + verifica Origin). ### 4. CORS - Mai `Access-Control-Allow-Origin: *` su endpoint autenticati. Whitelist esplicita di origin. ### 5. Upload di file - Whitelist di estensioni E content-type verificato sul contenuto reale (magic bytes). - Rinominare i file con ID casuali, salvarli FUORI dalla web root o su storage separato, limitare la dimensione. ### 6. Errori e log - Mai mostrare stack trace o dettagli interni all'utente; pagina di errore generica + log lato server. - Loggare login, errori di autenticazione, pagamenti e azioni amministrative (senza dati sensibili nei log). ### 7. Segreti e dipendenze - Mai chiavi/API key/password nel codice o nella repo: usare variabili d'ambiente e file `.env` in `.gitignore`. - Generare sempre `.gitignore` con `.env`, `node_modules`, credenziali. - Usare versioni aggiornate delle dipendenze; consigliare `npm audit` / `pip-audit` (vedi skill sicurezza-github per l'automazione). ### 8. HTTPS - Tutto il traffico in HTTPS, redirect da HTTP, HSTS attivo. In sviluppo locale va bene HTTP ma documentare la differenza. ## Checklist finale Prima di consegnare un sito/app, verificare: headers presenti, query parametrizzate, validazione server, cookie sicuri, CSRF, niente segreti nel codice, errori generici, `.gitignore` corretto. Elencare all'utente le protezioni applicate e gli eventuali punti che richiedono configurazione sul suo hosting.