Autentikasi dan sesi untuk Sentry
high5 titik pemeriksaan
Autentikasi adalah target paling bernilai di situs mana pun: credential stuffing, session fixation, dan CSRF semuanya menuju pintu yang sama.
Yang harus ada di Sentry
- Form login memakai HTTPS dan menyertakan token CSRF
- Rate limiting dan penguncian setelah percobaan gagal
- MFA tersedia untuk akun istimewa
- Kata sandi disaring terhadap korpus kebocoran yang diketahui
- Tidak ada account enumeration lewat pesan error
Cara memperbaiki
- 1Tambahkan pembatasan per akun dan per IP
- 2Wajibkan MFA untuk admin dan saring kata sandi lewat API k-anonymity
Konteks Sentry
Error monitoring and performance tracing SDK.
DSNs are public by design, but ensure PII scrubbing and that source maps are not publicly reachable.