私は、ユーザーがリモートでログオンしてWebインターフェイスを介して使用できるアプリケーションを設計中です。
セキュリティは最も重要です（クレジットカードや個人の銀行の種類の情報を考えてください）-したがって、セキュリティの側面を明確にする必要があります-ハード。
従来の（ステートフル）WebページやWebサービスを介してアプリケーション機能を提供するつもりです。
その価値のために、私はweb2pyをWebアプリケーションフレームワークとして使用するつもりです。
すべての領域を確実にカバーするために従うことができるガイドラインのリストはありますか？
ワンストップショッピング： https ：//www.owasp.org/index.php/Main_Page
それを読んで、すべての提案を心に留めてください。
少なくとも次のことを考慮する必要があります。
認証。ユーザーに何らかの方法でログオンさせる。使用する認証方法は、提供する目的によって異なります。
プライバシー。彼らが送信する情報が盗聴者ではなく、彼らとあなたのアプリケーションにのみ表示されることを確認してください。
最も単純なケースでは、SSLは上記の両方を処理できます。常に暗号化を提供しますが、認証に使用したり、少なくともいくつかの単純な認証メカニズムをより安全にするために使用することもできます。注目すべきことの1つは、SSLのセキュリティです。sslは、特に、ユーザーがすでに雇用主と信頼関係を結んでいる場合に、中間者攻撃の影響を受けやすくなります。雇用主は、事実上mimであるsslゲートウェイのインストールに進むことができます。
これは実際に使用しているテクノロジーによって異なります。
これは非常に自由形式の質問です。法的にこれはめったに使用されない（決して？）ので、依存します...たとえば、ユーザーが要求したアクションの署名されたログのようなものでおそらく十分です。
最大の脅威は、Webアプリケーション層に脆弱性をもたらすサーバー側のWebアプリケーションコードを作成することです。これはあなたがチェックリストできるものではありません。手始めに、OWASPトップ10のアイテムに100％慣れていることを確認し、それらに対して安全にコーディングする方法を理解してください。Webアプリケーションの脆弱性に精通していない場合は、Webレイヤーのレビューを支援する人を雇うことを強く検討してください。少なくとも、セキュリティテスト会社に連絡して、できればコードレビューコンポーネントを使用して、何らかの形の侵入テストを実行することを検討します。
クレジットカードデータで何かをする場合は、PCIDSSに準拠する必要があります。PCIDSSでは、承認されたスキャンベンダーによる少なくとも四半期ごとのリモートテストが必要になります。