الـ 10 ثغرات الأكثر شيوعاً
- SQL Injection ─ لسه موجودة في 2026! استخدم prepared statements دايماً.
- XSS ─
dangerouslySetInnerHTMLبدون sanitization - CSRF ─ ولا تنسى double-submit cookies
- Open Redirect ─
?next=...بدون validation - IDOR ─
/api/users/123بدون authorization check - Weak Authentication ─ JWT في localStorage = خطر
- Misconfigured CORS ─
*مع credentials - Exposed .env ─ شوفت ده 3 مرات الشهر اللي فات
- Outdated dependencies ─
npm auditأصدقاؤك - No rate limiting ─ login endpoint بدون حماية = brute force جنة
Checklist سريعة لأي موقع جديد
- ✅ HTTPS only + HSTS
- ✅ Content Security Policy header
- ✅ Rate limiting على /login، /signup، /forgot-password
- ✅ Input validation (Zod أو Yup)
- ✅ SQL queries بـ ORM (Prisma، Drizzle)
- ✅ Sessions في httpOnly cookies، مش localStorage
- ✅ Logs بدون passwords أو tokens
- ✅ Backups يومياً
أدوات بستخدمها
- Burp Suite ─ للـ manual testing
- OWASP ZAP ─ بديل مجاني
- Snyk ─ لـ dependencies
- Mozilla Observatory ─ فحص headers سريع
الأمن مش feature بتضيفها في الآخر ─ ده mindset من السطر الأول.
