「セキュリティ/実際の施策」の版間の差分

2015年5月20日 (水) 03:08時点における最新版

1. パスは英数記号を混ぜる。
2. ログイン時、パスだけ違ってもパスが違うとは出さないこと。（idはあってることになる。
3. パス間違いでロックアウト（３回以上間違えたら１日で蹴るみたいな感じ
4. パス生成時にソルトによるハッシュと、ストレッチング（数万回暗号化処理する）を掛けておく
5. 全サイトをhttpsにして、cookieにsecure属性をつける。