django-secure

django-bezpieczne jest aplikacja, która umożliwia Django pamiętać o głupie trochę rzeczy do poprawy bezpieczeństwa witryny Django.
Zainspirowany Bezpieczne wytycznych Kodowanie Mozilli, i przeznaczone do miejsc, które są w całości lub w większości obsługiwanych przez protokół SSL (które powinny obejmować niczego z logowania użytkowników).
Szybki
Testowane z Django 1.2 przez bagażniku i Python 2.5 poprzez 2.7. Całkiem prawdopodobne, działa ze starszymi wersjami obu, choć; To nie jest bardzo skomplikowane.
instalacji
Zainstaluj z PyPI z pip:
pip zainstalować django-bezpieczne
lub pobrać wersję w-rozwoju:
pip zainstalować django-bezpieczne == dev
Zastosowanie
- Dodaj "djangosecure" do ustawień INSTALLED_APPS.
- Dodaj "djangosecure.middleware.SecurityMiddleware" do ustawień MIDDLEWARE_CLASSES (tam, gdzie zależy na innych middleware, ale w pobliżu początku listy to chyba dobry wybór).
- Ustaw ustawienie SECURE_SSL_REDIRECT na True, jeśli nie wszystkie wnioski SSL powinien być stale przekierowanie do SSL.
- Ustaw SECURE_HSTS_SECONDS ustawień do całkowitej liczby sekund, jeśli chcesz korzystać z protokołu HTTP Strict bezpieczeństwa transportu.
- Ustaw ustawienie SECURE_FRAME_DENY True, jeśli chcesz, aby zapobiec określanie stron i chronić je przed clickjacking.
- Zestaw SESSION_COOKIE_SECURE i SESSION_COOKIE_HTTPONLY True jeśli używasz django.contrib.sessions. Ustawienia te nie są częścią django-Secure, ale powinny one być stosowane, jeżeli działa bezpieczną witrynę, a polecenie Zarządzanie checksecure sprawdzi ich wartości.
- Uruchom python manage.py checksecure, aby sprawdzić, czy ustawienia są poprawnie skonfigurowane do obsługi bezpiecznej witryny SSL.

Ostrzeżenie
Jeśli checksecure daje wszystkim czysta, wszystko to oznacza to, że jesteś teraz, korzystając z małej wybór prostych i łatwych zwycięstw bezpieczeństwa. To świetnie, ale to nie znaczy, witryny lub Twoja baza kodu jest bezpieczne: tylko właściwy audyt bezpieczeństwa może powiedzieć.
Dokumentacja
Zobacz pełną dokumentację więcej szczegółów

Co nowego w tym wydaniu:.

• Dodano ustawienie SECURE_HSTS_INCLUDE_SUBDOMAINS. Dzięki Paweł McMillan dla raportu i Donald Stufft do poprawki. Poprawki 13.
• Dodane X-XSS-Protection: 1; mode = nagłówek bloku. Dzięki Johannas Heller.

Wymagania :

• Python
• Django