Похек

Django Security
#django #python #hardening

➡️Давайте начнем не с библиотек, а с кода. Для продакшана используйте следующие настройки settings.py:

DEBUG = False

ALLOWED_HOSTS = ['your_domain', 'www.your_domain']

SECURE_SSL_REDIRECT = True
SESSION_COOKIE_SECURE = True
CSRF_COOKIE_SECURE = True
SECURE_PROXY_SSL_HEADER = ("HTTP_X_FORWARDED_PROTO", "https")
SECURE_HSTS_SECONDS = 31536000
SECURE_HSTS_INCLUDE_SUBDOMAINS = True
SECURE_HSTS_PRELOAD = True

➡️Далее следует сменить дефолтный путь до админки на какой-то рандомный:

urlpatterns = [
    path('whjbfgwilbefvbwoeuibfuiwb/', admin.site.urls),
]

Собственно такой путь маловероятно, что сбрутят)

➡️Также перед деплоем советую проверять проект с помощью django-admin check --deploy --fail-level WARNING
➡️Есть онлайн ресурс, так скажем black box проверка https://djcheckup.com/

Теперь перейдем к библиотекам)
➡️django-allauth: Добавляет функции для управления учетными записями, включая регистрацию, аутентификацию и управление паролями.
➡️django-csp: Устанавливает Content Security Policy (CSP) для защиты от XSS. ТУТ вы можете достать сэмпл безопасной конфигурации CSP, а ТУТ посмотреть все возможные атрибуты для CSP
➡️django-admin-honeypot: фейковая админка

urlpatterns = [
    ...
    path('admin/', include('admin_honeypot.urls', namespace='admin_honeypot')),
    path('whjbfgwilbefvbwoeuibfuiwb/', admin.site.urls),
]

➡️django-ratelimit: простое ограничение на кол-во запросов с одного IP

@ratelimit(key='ip', rate='10/s')
def secondview(request):
    # ...

➡️django-defender: защита от брутфорса и также rate limit, на основе IP и username'а. В отличии от axes, используется отдельная Redis, а не PG самого проекта.Из удобного, данную либу можно "вставить" в админку. Это удобно)
➡️django-guardian: эта либа позволяет гибко управлять разрешениями для объеков Django. Из коробки у нас есть django.contrib.auth. Более подробно ТУТ читать.
➡️django-guardian для DRF: тоже самое, но для Django Rest Framework

Дополнительный способ защиты - отслеживание свежих CVE в Django

🌚

@poxek

Please open Telegram to view this post

VIEW IN TELEGRAM

🔥112😁11

4.53K viewsСергей Зыбнев, 09:16