django-secure

Django-Secure є додаток Django, яка допоможе вам не забути робити дурні дрібниці з підвищення безпеки вашого сайту в Django.
Натхненний Керівництва Secure кодування Mozilla, а призначений для сайтів, які повністю або в основному обслуговував понад SSL (яка повинна включати що-небудь з входу користувачів).
Швидкий старт
Протестовано з Django 1.2 через стовбур, і Python 2.5 через 2,7. Досить імовірно працює зі старими версіями і, хоча; Це не дуже складно.
Установка
Установка з PyPI ПІО:
пункт встановити Django-Secure
або отримати версію в процесі розвитку:
пункт встановити Django-Secure == Dev
Використання
- Додати "djangosecure" з настройками INSTALLED_APPS.
- Додати "djangosecure.middleware.SecurityMiddleware" з настройками MIDDLEWARE_CLASSES (де залежить від інших ваших проміжне програмне, але практично на самому початку списку, ймовірно, хороший вибір).
- Встановіть налаштування SECURE_SSL_REDIRECT Істина, якщо всі запити без використання SSL повинен бути постійно перенаправлені на SSL.
- Встановіть SECURE_HSTS_SECONDS налаштування до цілого числа секунд, якщо ви хочете використовувати HTTP Strict Transport Security.
- Встановіть налаштування SECURE_FRAME_DENY Істина, якщо ви хочете, щоб обрамлення ваших сторінок і захистити їх від ClickJacking.
- Набір SESSION_COOKIE_SECURE і SESSION_COOKIE_HTTPONLY Істина, якщо Ви використовуєте django.contrib.sessions. Ці параметри не є частиною Django-Secure, але вони повинні бути використані при роботі безпечне місце, і команда управління checksecure буде перевіряти їх значення.
- Запуск Python manage.py checksecure щоб переконатися, що ваші налаштування правильно налаштований для обслуговування захищений сайт SSL.

Попередження
Якщо checksecure дає вам все ясно, все це означає, що ви в даний час користуються крихітного вибору простих і легких перемог безпеки. Це здорово, але це не означає, що ваш сайт або базового коду є безпечним: тільки компетентний аудит безпеки може сказати вам, що.
Документація
См повну документацію для більш докладної інформації

Що нового У цьому випуску :.

• Додана настройка SECURE_HSTS_INCLUDE_SUBDOMAINS. Завдяки Paul McMillan для звіту і Дональд Stufft патча. Виправлення # 13.
• Додана X-XSS-Protection: 1; Режим = заголовок блоку. Завдяки Johannas Хеллер.

Вимоги

• Python
• Django