# Bảng kiểm bảo mật trước khi phát hành ứng dụng web

> Bảng kiểm · Vai trò: Bảo mật ứng dụng · Mức độ: Trung cấp · Thời gian ước tính: 60 phút
> Nguồn: https://news.huecybersec.xyz/cam-nang/kiem-tra-bao-mat-truoc-phat-hanh-web · Cập nhật: 2026-11-13

## 1. Mục tiêu

Kiểm tra tối thiểu cho mỗi lần phát hành: phụ thuộc có lỗ hổng, bí mật lộ trong mã nguồn, phân tích mã tĩnh, phân quyền API và header bảo mật.

## 2. Khi nào áp dụng

Đưa vào pipeline CI/CD hoặc dùng trước mỗi lần phát hành phiên bản lớn.

## 3. Quy trình thực hiện

### 3.1. Mã nguồn & phụ thuộc

- [ ] **[BẮT BUỘC]** Quét thư viện phụ thuộc có lỗ hổng đã biết [2]
  ```
  trivy fs --scanners vuln .
  ```
- [ ] **[BẮT BUỘC]** Quét bí mật (khoá API, mật khẩu) lọt vào mã nguồn [2]
  ```
  trivy fs --scanners secret .
  ```
- [ ] Chạy phân tích mã tĩnh (SAST) [1]
  ```
  semgrep scan --config auto .
  ```

### 3.2. Kiểm soát ứng dụng

- [ ] **[BẮT BUỘC]** Kiểm tra phân quyền từng API theo vai trò — truy cập đối tượng của người khác (IDOR/BOLA) [1][3]
- [ ] Kiểm tra xác thực đầu vào và mã hoá đầu ra để chống injection/XSS [1]
- [ ] Bật header bảo mật: Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, frame-ancestors [1]
- [ ] Kiểm tra header thực tế của môi trường phát hành [1]
  ```
  curl -sI https://example.com | grep -iE 'content-security-policy|strict-transport-security|x-content-type-options|x-frame-options'
  ```

### 3.3. Triển khai

- [ ] Quét image container trước khi đẩy lên registry [2]
  ```
  trivy image --severity HIGH,CRITICAL myapp:latest
  ```
- [ ] **[BẮT BUỘC]** Tắt chế độ debug, trang lỗi chi tiết và endpoint quản trị công khai [1]

## 5. Tài liệu tham khảo

[1] OWASP — Application Security Verification Standard (ASVS). https://owasp.org/www-project-application-security-verification-standard/
[2] Aqua Security — Trivy documentation. https://trivy.dev/
[3] OWASP — OWASP API Security Top 10. https://owasp.org/API-Security/

---
Tài liệu do HueCA-CYBER tổng hợp. Ghi rõ nguồn khi sử dụng lại.