אבטחת מידע באתר

גישה של שכבות הגנה

אבטחת אתר אינה נשענת על מנגנון יחיד. היישום בנוי כך ששכבות שונות מצמצמות את הסיכון גם אם שכבה אחרת נכשלת: תשתית HTTPS, כותרות דפדפן, הגבלת מקורות תוכן, אימות קלט, הגנת טפסים, צמצום תלות בסקריפטים חיצוניים ועדכון רכיבי תוכנה.

הקשחת דפדפן ו־HTTP

• הפעלת HTTPS והוראת HSTS עבור הדומיין.
• Content Security Policy המגבילה מקורות סקריפטים, חיבורים ומשאבים.
• חסימת MIME sniffing ומסגור לא רצוי של האתר.
• מדיניות Referrer והרשאות דפדפן מצומצמות עבור מצלמה, מיקרופון, מיקום ויכולות שאינן נדרשות לאתר.

אבטחת טופס יצירת הקשר

• הגבלת גודל בקשה וסוג תוכן לפני עיבוד הגוף.
• בדיקות שרת שאינן מסתמכות על בדיקות JavaScript בדפדפן.
• ניקוי והמרת תווים לפני שילוב תוכן משתמש בדוא״ל HTML.
• Honeypot, בדיקת זמן מילוי והגבלת קצב בסיסית להפחתת ספאם וניצול לרעה.
• בדיקת מקור הבקשה ומאפייני Sec-Fetch בבקשות דפדפן.

צמצום מידע

טופס הפנייה מבקש רק מידע שימושי לפנייה ראשונית. נתוני אבטחה טכניים אינם מצורפים לתוכן המייל שנשלח לצוות, והקוד נמנע מרישום פרטים אישיים מיותרים בלוגים. גישה זו מפחיתה את כמות המידע שנחשף במקרה של תקלה.

תלות בספקים וברכיבי תוכנה

האתר משתמש במספר מצומצם של רכיבים וספקים. תלות שאינה בשימוש מוסרת מהפרויקט, גרסאות framework נדרשות להיות מעודכנות לגרסאות אבטחה נתמכות, ותהליך ההפצה כולל בדיקות TypeScript, ESLint ובנייה לפני העלאה לפרודקשן.

מדידה וסקריפטים חיצוניים

Google Analytics אינו נטען כברירת מחדל; הוא נטען רק לאחר בחירת המשתמש לאפשר מדידה. רכיב הנגישות נטען מקבצים מקומיים של האתר. צמצום סקריפטים חיצוניים משפר הן את פרטיות המשתמש והן את שטח התקיפה של הדפדפן.

דיווח על חשש אבטחה

אם זוהתה חולשה, התנהגות חריגה או חשש לגישה בלתי מורשית הקשורה לאתר, ניתן לדווח למשרד בכתובת LawOffice@mslawyers.co.il. מומלץ לכלול תיאור טכני, כתובת URL רלוונטית ושלבים לשחזור, ללא ניצול מעבר לנדרש להוכחת הבעיה.

הבהרה

המידע בעמוד מתאר עקרונות ואמצעים ברמת האתר ואינו מהווה הצהרה על הסמכה, תקן אבטחה חיצוני או התחייבות לחסינות מוחלטת. אמצעי אבטחה נבחנים ומתעדכנים בהתאם לצורך, לשינויים טכנולוגיים ולסיכונים רלוונטיים.