БЕЗОПАСНОСТЬ

Пароли

Главная дыра — не сложность пароля, а его повторное использование. Схема взлома обычно скучная: где-то утекла база мелкого форума, где ты регистрировался пять лет назад, и тем же паролем открывают твою почту, а из почты уже всё остальное.

• Разные пароли везде. Не «одинаковый плюс цифра», а действительно разные.
• Менеджер паролей. Любой нормальный. Запоминаешь один мастер-пароль, остальное хранится зашифрованным.
• Длина важнее символов. Фраза из четырёх слов надёжнее восьми знаков с восклицательным знаком, и её проще ввести с телефона.
• Проверь свою почту на сервисах утечек. Скорее всего, найдёшь пару неприятных сюрпризов.

Двухфакторка

Второй фактор — это то, что превращает украденный пароль в бесполезную строку. Ставь везде, где дают: почта, хостинг, домены, партнёрки, биржи.

Но не всякая двухфакторка одинакова. По надёжности снизу вверх: SMS, приложение-аутентификатор, физический ключ. SMS — самый слабый вариант, потому что номер можно перевыпустить в салоне связи по копии документов. Для всего важного используй приложение.

Разделение

Не смешивай личное и рабочее. Это не про паранойю, а про то, чтобы одна проблема не утянула за собой всё.

Чего нельзя оставлять в открытом виде

Тут два реальных случая из нашей практики — оба выглядят глупо, оба встречаются постоянно.

Пароль в истории команд

На сервере пароль администратора однажды оказался записан открытым текстом в истории команд — его случайно ввели не в то поле, и система честно сохранила его в файл. Любой, кто получит доступ к серверу хотя бы на минуту, читает этот файл первым делом.

Токен в логах

Телеграм-бот писал в лог полные адреса своих запросов — вместе с токеном внутри адреса. Лог при этом разросся до трёхсот мегабайт и лежал рядом с проектом. Токен в логе означает, что любой, кто получил лог, получил и бота целиком.

Правило простое: секреты живут в отдельном файле с закрытыми правами доступа и никогда не попадают ни в логи, ни в историю команд, ни в код. И если ты хоть раз показал кому-то экран с токеном — считай его скомпрометированным и меняй.

Прокси и IP

Если работаешь с несколькими аккаунтами, IP — такой же идентификатор, как пароль. Здесь важны три вещи:

• Один аккаунт — один IP. Постоянный, а не меняющийся каждый час.
• Тип адреса имеет значение. Серверный IP из датацентра площадки вычисляют мгновенно. Мобильные и резидентные стоят дороже, но выглядят как обычные люди.
• Проверяй, что прокси реально работает, а не просто «соединение установлено». Нужен запрос до внешнего сервиса и сверка, какой IP он видит.

Бэкапы

Самый скучный пункт и самый недооценённый. Бэкап нужен не от хакеров, а от собственной руки: удалил не ту папку, обновил плагин, пересобрал проект и стёр данные.

У нас был случай: пересборка приложения удаляла папку целиком, а рабочие профили лежали внутри неё. Так пропал профиль на двести мегабайт с рабочими авторизациями. Лечится одной строкой в скрипте сборки, но узнаёшь об этом только когда уже потерял.

• Копия должна лежать не там же, где оригинал.
• Раз в месяц проверяй, что копия разворачивается. Непроверенный бэкап — это не бэкап.
• Для сайта это архив файлов плюс дамп базы. Для бота — код плюс база плюс файл с настройками.

Короткий чек-лист

1. Менеджер паролей поставлен, пароли не повторяются.
2. Двухфакторка везде, где можно, резервные коды сохранены отдельно.
3. Рабочая почта и рабочий номер отделены от личных.
4. Секреты не лежат в коде, логах и истории команд.
5. Домены и хостинг оформлены на тебя, а не на подрядчика.
6. Есть свежая копия сайта и базы, и ты хотя бы раз её разворачивал.