المحاور الأساسية وخطوات التحصين
🔒 توليد الرموز السرية ذات الاستخدام الواحد (Cryptographically Secure Tokens)
توليد توكن عشوائي طويل صالح لمرة واحدة فقط ولفترة زمنية قصيرة (15 دقيقة) وربطه بهاش في قاعدة البيانات.
🔒 ثغرة تسميم ترويسة المضيف (Host Header Poisoning in Password Reset)
توليد روابط إعادة التعيين بناءً على قيمة ترويسة `Host` القادمة من المهاجم مما يؤدي لتوجيه التوكن لسيرفره.
🔒 إبطال الجلسات السابقة فور تغيير كلمة السر
تسجيل خروج المستخدم تلقائياً من كافة الأجهزة والمتصفحات الأخرى بمجرد إتمام إعادة التعيين بنجاح.
💡 نصيحة وأداة المهندس الأمني: اعتمد على عنوان الدومين الثابت المكتوب في ملف الإعدادات عند بناء روابط إعادة التعيين وتجنب قراءة ترويسة الـ Host.
⚠️ معايير الأمان والتحذيرات الهندسية:
لا تعتمد أبداً على قيود الواجهة الأمامية (Client-Side) كخط دفاع أمني؛ يجب دائماً التحقق من صحة وتطهير كافة البيانات والتفويض في خادم الويب (Server-Side).
📌 أفضل الممارسات والتوصيات الهندسية:
- تطبيق مبدأ الصلاحيات الأقل (Principle of Least Privilege) على كافة مستويات التطبيق وقواعد البيانات.
- ترميز المخرجات المعتمد على السياق واستخدام الاستعلامات المعلمة (Parameterized Queries) لمنع كافة أنواع الحقن.
- دمج الفحص الأمني التلقائي (SAST & DAST) في خطوط الـ CI/CD لاكتشاف ومعالجة الثغرات مبكراً.