Security/OWASP

Ohne Rate Limiting kann ein einzelner Client eine Nuxt Server Route mit tausenden Requests pro Sekunde überlasten, sei es durch einen fehlerhaften Client, einen Bot oder einen gezielten Angriff. Token Bucket Algorithmen, Redis basiertes Limiting und ein korrektes 429 Fehlerformat schützen die API, ohne legitime Nutzer auszubremsen.

Ein vergessener API-Key in einem Commit reicht aus, um Zugangsdaten dauerhaft offenzulegen, selbst wenn die Datei später wieder gelöscht wird. Dieser Artikel zeigt, wie gitleaks und git-secrets Secrets schon vor dem Commit erkennen, warum eine zusätzliche CI-Prüfung nötig ist, und welche Reihenfolge bei einem tatsächlichen Leak über den Schaden entscheidet.

Single Sign-On über einen externen Identity Provider verlangt mehr als das Weiterleiten eines Login-Buttons. Dieser Leitfaden zeigt, wie OAuth2 und OpenID Connect in Symfony sauber integriert werden, vom Authorization Code Flow über die ID-Token-Validierung bis zum Rollen-Mapping in die eigene Benutzerverwaltung.

Ein einfaches docker login legt Zugangsdaten standardmaessig im Klartext in ~/.docker/config.json ab, lesbar fuer jeden Prozess mit Dateizugriff. Credential Helper loesen dieses Problem, indem sie Passwoerter an einen sicheren Keystore delegieren, sowohl lokal als auch in CI-Pipelines.

Eine Content Security Policy ist der wirksamste einzelne HTTP Header gegen Cross Site Scripting, wird aber in den meisten Projekten entweder gar nicht oder mit einer viel zu großzügigen Whitelist eingesetzt. Dieser Artikel zeigt, wie eine Content Security Policy von der ersten Direktive über Nonces und Hashes bis zum harten Enforcement Modus entsteht, ohne dass Inline Skripte oder Drittanbieter Tools plötzlich blockiert werden.

JSON Web Tokens gelten als moderner Standard für zustandslose Authentifizierung, doch fehlerhafte Implementierungen öffnen Angreifern Tür und Tor. Dieser Artikel zeigt die häufigsten Fallstricke wie Algorithmus-Verwirrung, ungeschützte Payload-Daten und unsichere Speicherung und liefert konkrete, geprüfte PHP-Lösungen für robuste API-Authentifizierung.

PHP-Security ist mehr als eine einzelne Funktion oder ein Framework-Feature, sie umfasst Input-Validierung, Output-Encoding, Session-Härtung, Secrets-Management, CSRF-Schutz, Security-Header, saubere Fehlerbehandlung und Dependency-Sicherheit als zusammenhängendes System. Dieser Beitrag gibt den vollständigen Überblick über die Security Best Practices, die jede produktive PHP-Anwendung unabhängig vom eingesetzten Framework braucht.

Die meisten erfolgreichen Angriffe auf Linux-Server treffen auf offene SSH-Passwort-Logins, fehlende Firewall-Regeln und veraltete Pakete, nicht auf ausgeklügelte Zero-Day-Exploits. Dieser Artikel zeigt eine praxistaugliche Härtungs-Baseline, die mit wenig Aufwand den größten Teil der Angriffsfläche schließt, ohne den Betrieb unnötig zu erschweren.

Statische Codeanalyse und Abhaengigkeitspruefung gehoeren zu den Security-Funktionen, die GitLab direkt eingebaut mitliefert und die sich mit wenigen Zeilen in eine bestehende .gitlab-ci.yml einbinden lassen. Der eigentliche Aufwand beginnt aber erst danach: Ergebnisse muessen bewertet, echte Schwachstellen priorisiert und Falschmeldungen sauber unterdrueckt werden, ohne dass das Security-Rauschen die Entwicklerakzeptanz untergraebt. Dieser Artikel zeigt die Integration von SAST und Dependency Scanning in eine bestehende PHP- oder Node-Pipeline sowie den praktischen Umgang mit den gemeldeten Findings.

Nicht jede Datei, die ein Container schreibt, sollte den Lebenszyklus des Containers ueberdauern, besonders wenn es um entschluesselte Secrets, Session-Tokens oder temporaere Verschluesselungsschluessel geht. tmpfs Mounts halten solche Daten ausschliesslich im Arbeitsspeicher, ohne dass sie jemals auf die Festplatte des Hosts geschrieben werden, und sind damit ein einfaches, aber wirkungsvolles Sicherheitswerkzeug fuer Docker-Container.