A02:2025 — Security Misconfiguration؛ وقتی تنظیمات پیش‌فرض دشمن شما می‌شوند
از حالت debug فعال در Production تا هدرهای امنیتی فراموش‌شده — نگاهی به رایج‌ترین اشتباهات پیکربندی.
Security Misconfiguration شامل طیف وسیعی از اشتباهات می‌شود: حالت debug روشن در محیط عملیاتی، هدرهای امنیتی (CSP، X-Frame-Options) تنظیم‌نشده، سرویس‌های غیرضروری فعال، پیام‌های خطای مفصل، و اعتبارنامه‌های پیش‌فرض تغییرنکرده.
چرا این دسته همیشه در صدر است
برخلاف یک باگ کد که نیاز به کشف دارد، misconfiguration معمولاً فقط نیاز به *دیدن* دارد — یک هدر HTTP گم‌شده یا یک فایل .git قابل‌دسترس را با یک درخواست ساده می‌توان پیدا کرد.
چک‌لیست سریع
- آیا APP_DEBUG/معادل آن در production خاموش است؟
- آیا هدرهای امنیتی استاندارد (CSP، X-Content-Type-Options، X-Frame-Options) تنظیم شده‌اند؟
- آیا فایل‌های حساس (.env، .git، composer.json) از دسترس عمومی خارج شده‌اند؟
آزمایشگاه Information Disclosure PentesterHub مستقیماً همین دسته را پوشش می‌دهد.