Aynan nimani himoya qilish kerak
Texnologiyadan emas, ro‘yxat tuzishdan boshlang. Ilova odamlar va biznesingiz haqida nimalarni biladi: mijozlarning ism va telefon raqamlari, yetkazib berish manzillari, buyurtmalar tarixi, bonus ballari, kirish tokenlari, to‘lov xizmatlarining kalitlari. Ma’lumot qancha kam yig‘ilsa, yo‘qotish xavfi ham shuncha kam. Buyurtma uchun telefon raqami yetarli bo‘lsa, «ehtiyot shart» pasport ma’lumotlarini so‘ramang.
Alohida jamoangiz ko‘radigan qismni ham yozib chiqing: admin-panel, mijozlar ro‘yxatini yuklab olish, xabarnomalar va Telegram-botlarga kirish. Aynan shu qatlam ko‘pincha eng zaif himoyalangan bo‘ladi, chunki «uni faqat o‘zimizinikilar ko‘radi».
- Mijozlar ma’lumotlari va buyurtmalar tarixi
- Akkauntlar, sessiyalar va kirish tokenlari
- To‘lov amallari va to‘lovni tasdiqlash
- Bonuslar, promokodlar va chegirmalar
- Admin-panel va xodimlarning huquqlari
- API kalitlari va uchinchi tomon xizmatlariga kirish
Zaif joy ko‘pincha telefonda emas, serverda
Ilova — bu vitrina, ma’lumotlar esa serverda turadi va API orqali keladi. Server kim nimani so‘rayotganini tekshirmasa, chiroyli ekran hech narsani asramaydi: so‘rovni almashtirib, birovning buyurtmalarini ko‘rish yoki o‘ziga ball qo‘shish mumkin bo‘lib qoladi. Shuning uchun huquqlarni tekshirish, so‘rovlar sonini cheklash va ma’lumotlarni tekshirish ilovada emas, server tomonda ishlashi kerak.
Bu yerda mobil ishlab chiqish saytlar bilan kesishadi. Ko‘p kompaniyalarda ilova, sayt va admin-panel bitta backend ustida ishlaydi, shuning uchun veb-qismdagi bitta teshik hamma narsaga yo‘l ochadi. Xavfsizlikni alohida loyihalar to‘plami sifatida emas, yagona tizim sifatida loyihalash kerak.
Telefon tomonida boshqa narsalar muhim: parol va kalitlarni ilova kodida ochiq holda saqlamaslik, qurilmaning himoyalangan xotirasidan foydalanish, ma’lumotni faqat HTTPS orqali uzatish va jurnalga ortiqcha narsa yozmaslik.
Click, Payme to‘lovlari va shaxsiy ma’lumotlar
Click, Payme yoki boshqa xizmatlar orqali to‘lov qabul qilsangiz, oddiy qoidaga amal qiling: karta ma’lumotlari sizning serveringiz orqali o‘tmasligi va, ayniqsa, sizda saqlanmasligi kerak. Provayderning rasmiy integratsiyasidan foydalaning, to‘lov amalga oshganini esa ilovadagi «muvaffaqiyatli» xabariga qarab emas, to‘lov tizimining bildirishnomasiga ko‘ra server tomonda tasdiqlang.
O‘zbekiston fuqarolarining shaxsiy ma’lumotlari alohida qonun bilan tartibga solinadi va unda yig‘ish, saqlash va qayta ishlash bo‘yicha talablar bor. Aniq majburiyatlar biznes modelingizga bog‘liq, shuning uchun ularni taxmin qilmay, yurist bilan aniqlashtirgan ma’qul.
Ishlab chiquvchiga beriladigan savollar
Bu savollarga berilgan javoblar pudratchi haqida ko‘p narsa aytadi. Mo‘ljal kerak bo‘lsa, xalqaro OWASP MASVS standartidan foydalaning: u mobil ilovalarni himoyalash talablarini tavsiflaydi va chiqarishdan oldin tekshiruv ro‘yxatini tuzishga yordam beradi.
- Avtorizatsiya qanday tuzilgan va token o‘g‘irlansa nima bo‘ladi?
- Rollarning huquqlari qanday: mijoz, kuryer, menejer, administrator?
- Ma’lumotlar qayerda saqlanadi va ularga kim kira oladi?
- Zaxira nusxalar qanday olinadi va qayta tiklash sinab ko‘rilganmi?
- Qaysi tashqi kutubxonalar ishlatiladi va yangilanishini kim kuzatadi?
- Do‘konlarga joylashdan oldin tekshiruv ro‘yxati bo‘yicha sinov o‘tkaziladimi?
- Dastur kodi va serverga kirish huquqlari kimga tegishli?
Ilova chiqqandan keyingi xavfsizlik
Reliz — yakun emas. Android va iOS yangi versiyalari chiqadi, kutubxonalar yangilanadi, xodimlar kelib-ketadi. Ishdan ketganlarning kirish huquqini yoping, admin-panelda ikki bosqichli himoyani yoqing, parollarni umumiy chatda emas, parol menejerida saqlang. G‘ayritabiiy holatlarga e’tibor bering: bonusli buyurtmalarning to‘satdan ko‘payishi, bitta manzildan ommaviy kirishlar, yangilanishdan keyingi xatolar ko‘payishi.
Hodisa yuz berganda nima qilinishini oldindan belgilab qo‘ying: kim kirishni o‘chiradi, kim mijozlarga xabar beradi, ma’lumotlar qayerdan tiklanadi. Qog‘ozdagi reja kerakli paytda soatlarni tejaydi.
Va halol maslahat: ba’zan ilova hozircha kerak emas. Moslashuvchan sayt yoki Telegram-bot ko‘p vazifani bajaradi, hujum yuzasi kichikroq va ularni qo‘llab-quvvatlash osonroq.
Qayerdan boshlash kerak
Ma’lumotlar, rollar va integratsiyalar ro‘yxatini tuzing, so‘ng pudratchidan har bir band bo‘yicha himoyani oddiy tilda tushuntirib berishni so‘rang. Agar javob «xavotir olmang, hammasi ishonchli» bilan tugasa, bu ehtiyot bo‘lish uchun sabab.
markdev O‘zbekistonda saytlarni kalit taslim yaratadi va xavfsizlikni server qismi, admin-panel hamda integratsiyalar bilan birga ko‘rib chiqadi. Vazifangizni muhokama qilmoqchi bo‘lsangiz, bizga yozing: ilova sizga kerakmi-yo‘qmi va boshidanoq qanday himoya qo‘yish kerakligini birga aniqlaymiz.
Ko‘p beriladigan savollar
Mobil ilova xavfsizligida eng muhimi nima?
Server qismi: avtorizatsiya, huquqlarni tekshirish va API himoyasi. Birovning ma’lumotiga ko‘pincha aynan server orqali kirishadi, shuning uchun undan boshlang, so‘ng telefondagi kod himoyasiga o‘ting.
Ilovada Click va Payme orqali to‘lov qabul qilish xavfsizmi?
Ha, agar rasmiy integratsiyadan foydalansangiz, karta ma’lumotlarini o‘zingizda saqlamasangiz va to‘lovni to‘lov tizimining bildirishnomasi bo‘yicha server tomonda tasdiqlasangiz. Ulanish shartlarini provayderlarning o‘zidan aniqlang.
Ilovani nashr etishdan oldin tekshirish kerakmi?
Ha. OWASP MASVS kabi standart bo‘yicha tekshiruv ro‘yxatini tuzib, relizgacha o‘ting: ma’lumotlar saqlanishi, rollar huquqi, HTTPS orqali uzatish va kalitlar bilan ishlashni ko‘rib chiqing.
Ma’lumotlar sizib chiqqan deb gumon qilsam, nima qilaman?
Xavf ostidagi kirishlar va tokenlarni darhol o‘chiring, jurnallarning nusxasini saqlang, muammo manbasini toping va shundan keyingina ishni tiklang. Mijozlarni o‘z vaqtida va ochiq ogohlantirgan ma’qul.
Vazifangizni bepul tahlil qilamiz
Kontaktingizni qoldiring — 15 daqiqalik qo‘ng‘iroqda arizalar qayerda yo‘qolayotganini va birinchi navbatda nima qilish kerakligini ko‘rsatamiz.