tarasovvitalii.com का सुरक्षा ऑडिट: आठ ख़ामियाँ मिलीं, आठों ठीक की गईं

tarasovvitalii.com सिर्फ़ स्टैटिक पेज नहीं है। इस पर VITON ID (Firebase Authentication और Firestore) पर चलने वाली चैट है, Node पर एक छोटा API है जो संपर्क के संदेश सहेजता है और ईमेल भेजता है, Docker में nginx सर्वर है, और /demos/ के नीचे 15 कॉन्सेप्ट साइटों की कॉपियाँ हैं। जो विज़िटर संस्थापक को लिखने के लिए साइन इन करता है, वह इन सब पर एक साथ भरोसा करता है, इसलिए 28 सितंबर 2026 को हमने साइट को अंदर से जाँचा, ठीक वैसे ही जैसे लॉन्च से पहले किसी क्लाइंट की साइट जाँचते।

हर हिस्से के लिए सवाल एक हमलावर का सवाल था: बाहर का कोई व्यक्ति इसके साथ क्या कर सकता है, और मालिक को इसकी क्या क़ीमत चुकानी पड़ेगी? कोई ख़ामी तभी गिनी गई जब हमने उसे ख़ुद दोहराकर देख लिया, और कोई सुधार तभी गिना गया जब वही हमला उस पर नाकाम रहा।

जाँच में हर API रूट और टोकन वेरिफ़िकेशन, Firestore नियम और उनके 39 एमुलेटर टेस्ट, nginx और Docker Compose का कॉन्फ़िगरेशन, साइट और API की npm डिपेंडेंसी, चैट इंटरफ़ेस और सभी 15 डेमो का कोड शामिल था। लाइव सर्वर को टटोलने के बजाय हमने वही कंटेनर लोकल चलाए — प्रोडक्शन सेटिंग्स के साथ nginx और API — और हर हमला वहीं आज़माया।

सबसे गंभीर ख़ामी ख़ुद साइट में नहीं, एक डेमो में थी। Oriva स्टोर कॉन्सेप्ट पते के ?cat= पैरामीटर को HTML के रूप में पेज में डाल देता था, इसलिए ख़ास तरह से बनाया गया लिंक tarasovvitalii.com पर स्क्रिप्ट चला देता था — उसी डोमेन पर जहाँ चैट अपना Firebase सेशन रखती है: मालिक का एक क्लिक इनबॉक्स को उजागर कर सकता था। बाक़ी 14 डेमो पते के पैरामीटर की सिर्फ़ जानी-पहचानी वैल्यू से तुलना करते हैं।

सुधार, एक-एक ख़ामी के हिसाब से। Oriva डेमो अब सिर्फ़ जानी-पहचानी कैटेगरी और सॉर्ट क्रम स्वीकार करता है। /demos/ की अपनी Content-Security-Policy है, और Leaflet — मैप लाइब्रेरी, जिसे 52 डेमो पेज CDN से लोड करते हैं — इंटीग्रिटी हैश से पिन की गई है। /demos/<id> रीडायरेक्ट अब माँगे गए पाथ को लौटाने के बजाय एक सख़्त पैटर्न से दोबारा बनता है। ऐसे ईमेल पते अस्वीकार किए जाते हैं जिनसे मालिक के Reply लिंक में कोई छिपा BCC या टेक्स्ट घुसाया जा सकता था, और नामों से टेक्स्ट की दिशा बदलने वाले अक्षर हटा दिए जाते हैं।

बाक़ी काम सर्वर पर हुआ: एक पते की सीमाओं के ऊपर, सहेजे जाने वाले सबमिशन पर एक कुल दैनिक सीमा (डिफ़ॉल्ट रूप से 500); संदेश API अब बिना विशेष अधिकारों वाले यूज़र के रूप में, सिर्फ़ पढ़ने लायक़ फ़ाइल सिस्टम पर और Linux की सभी capabilities हटाकर चलता है; nginx का वर्ज़न जवाबों से छिपा दिया गया है और वह मौजूदा स्टेबल ब्रांच पर है; और HSTS — वह हेडर जो ब्राउज़र को HTTPS पर बनाए रखता है — अब www पर भी भेजा जाता है और सबडोमेन तक बढ़ा दिया गया है। नए API टेस्ट अस्वीकार किए गए पतों, हटाए गए अक्षरों और इस सीमा को कवर करते हैं।

आठ ख़ामियाँ, आठों ठीक: एक ज़्यादा जोखिम वाली, एक मध्यम और छह कम। जो पेलोड पुराने डेमो कोड पर चलता था, वह नए पर कुछ नहीं करता, और जो रिक्वेस्ट पहले Set-Cookie हेडर घुसा देती थी, उसे अब सादा 404 मिलता है। सभी 119 डेमो पेज नई पॉलिसी के तहत शून्य उल्लंघनों के साथ लोड होते हैं, API टेस्ट नए नियमों सहित 48 में से 48 पास होते हैं, और npm audit साइट या API की डिपेंडेंसी में कोई ज्ञात कमज़ोरी नहीं बताता।

जाँचा गया और मज़बूत पाया गया: Firebase ID टोकन वेरिफ़िकेशन (सिर्फ़ RS256, key ID अनिवार्य, audience, issuer और expiry की जाँच), Firestore नियम जो किसी को भी दूसरे व्यक्ति की बातचीत पढ़ने या मालिक के नाम से लिखने नहीं देते, ईमेल टेम्पलेट जो हर वैल्यू को एस्केप करते हैं, ऐसे लॉग जिनमें टोकन, ईमेल या IP पते नहीं होते, और एक चैट जो विज़िटर के टेक्स्ट को कभी HTML के रूप में नहीं डालती। 28 सितंबर 2026 को लाइव साइट पर रिस्पॉन्स हेडर में सर्वर का वर्ज़न नहीं दिखता, दोनों पतों पर सबडोमेन सहित HSTS है और /demos/ पर डेमो पॉलिसी है, और हेडर इंजेक्शन वाली रिक्वेस्ट का जवाब 404 है।

यह हमारी अपनी साइट है, क्लाइंट का काम नहीं। जाँच स्टूडियो ने सोर्स कोड से की; यह न तो स्वतंत्र पेनिट्रेशन टेस्ट है और न ही कोई सर्टिफ़िकेट। हमले प्रोडक्शन कंटेनरों की लोकल कॉपी पर आज़माए गए, लाइव सर्वर पर नहीं; लाइव पते पर सिर्फ़ रिस्पॉन्स हेडर और रीडायरेक्ट दोबारा जाँचे गए।

नतीजा उसी पर लागू होता है जो हमने 28 सितंबर 2026 को जाँचा: नए कोड, नई डिपेंडेंसी या नए डेमो के लिए फिर से वैसी ही जाँच चाहिए। डेमो अब भी साइट का डोमेन साझा करते हैं, इसलिए नई पॉलिसी घुसाए गए कोड को अलग नहीं करती, बल्कि यह सीमित करती है कि वह कहाँ तक पहुँच सकता है; डेमो को उनके अपने डोमेन पर ले जाने से वे पूरी तरह अलग हो जाएँगे।

वेब स्टूडियो का पोर्टफोलियो कैसे जाँचें →