FindRiskbeta — тестовый запуск

Практическое руководство FindRisk

Безопасность входа и восстановления аккаунта: пароль, MFA и сессии

Защита аккаунта определяется не только формой входа. Слабый сброс пароля, незавершённый MFA или неотозванная сессия создают альтернативные пути доступа. Этот маршрут помогает проверить связанные состояния на собственных тестовых аккаунтах.

Что сделать

  1. 1Составьте перечень всех путей входа и восстановления, включая мобильный API и резервные коды.
  2. 2Сравните публичные ответы для существующего и вымышленного тестового пользователя.
  3. 3Убедитесь, что после первого фактора ещё нет доступа к операциям, требующим MFA.
  4. 4Проверьте срок, одноразовость и привязку reset-токена; домен письма должен браться из доверенной конфигурации.
  5. 5Проверьте смену идентификатора при входе и прекращение доступа старых сессий при отзыве.
  6. 6Добавьте регрессионную матрицу состояний и журналирование без паролей и токенов.

Материалы по теме

Небезопасные cookie сайта: Secure, HttpOnly и SameSite

Отсутствие атрибутов Secure, HttpOnly и SameSite ослабляет защиту сессионных cookie. Разбираем назначение каждого флага и безопасную настройку.

СреднийВеб-рискНужна ручная проверкаВеб-приложения
Весь каталог

Источники и границы

  • Внешний скан не проверяет все состояния входа и внутренние правила восстановления.
  • Используйте свои тестовые аккаунты; не проводите подбор кодов и массовую рассылку на production.