Güvenlik: Depolamada Asla Tutulmaması Gerekenler

localStorage ve sessionStorage verileri, kullanıcı profili altında diskte şifrelenmemiş olarak saklar. Dosya sistemine erişimi olan herhangi bir işlem — kötü amaçlı yazılım, yedekleme araçları veya oturum açmış başka bir kullanıcı da buna dahildir — tarayıcıdan geçmeden sakladığınız her değeri okuyabilir.

Kaynak üzerinde çalışan tüm betikler aynı Storage alanını paylaşır. Başarılı bir XSS saldırısı, güvenliği ihlal edilmiş bir üçüncü taraf SDK'sı veya kötü amaçlı bir tarayıcı uzantısı localStorage.getItem çağırarak saklanan her değeri dışarı aktarabilir. Betik başına yalıtım yoktur.

Oturum belirteçlerini, JWT'leri, yenileme belirteçlerini veya API anahtarlarını localStorage'a koymayın. Bir saldırgan tek bir JavaScript satırı eklerse belirteç hemen sızar. Belirtecin JavaScript tarafından erişilememesi için httpOnly, Secure ve SameSite çerezlerini kullanın.

Parolaları herhangi bir biçimde — düz metin, özetlenmiş veya şifrelenmiş olarak — istemci tarafında saklamak yanlıştır. İstemci tarafında özetleme yapmak, saldırgan özeti okuyup yeniden kullanabildiği için yardımcı olmaz. Parola işlemleri tamamen sunucuda, bcrypt gibi özel bir parola özeti kullanılarak gerçekleştirilmelidir.

PCI-DSS; kart numaralarının, CVV'lerin, manyetik şerit verilerinin veya son kullanma tarihlerinin istemci depolamasında saklanmasını yasaklar. Bunun yerine, kaynağınıza bağlı kısa ömürlü bir belirteç döndüren belirteç tabanlı bir ödeme sağlayıcısı (Stripe, Braintree, Adyen) kullanın.

Devlet tarafından verilen kimlik bilgileri, doğum tarihlerinin tamamı, ev adresleri ve tıbbi veriler; düzenleyici kurumların (GDPR, HIPAA) ve saldırganların ilgisini çeker. Yalnızca mevcut oturum için gerekenleri saklayın, gerektiğinde yeniden isteyin ve asıl doğruluk kaynağının sunucu olmasını sağlayın.

document.cookie verilerini sızdıran bir XSS hatası kötüdür. Aynı hata, belirteçleri localStorage içinde saklayan bir sayfada ortaya çıkarsa saldırgan, saklanan tüm değerleri bir anda ele geçirir. localStorage alanını, "bir betiği ele geçirdiyseniz her şeyi ele geçirmişsinizdir" yüzeyi olarak değerlendirin.

JavaScript içinde de bulunan bir anahtarla değerleri şifrelemek gerçek bir koruma sağlamaz; şifreli metni okuyabilen saldırgan anahtarı da okuyabilir. Gerçek gizli bilgiler sunucu tarafında kalmalı ve istemci tarafında asla kalıcı olarak saklanmadan yeniden verilmelidir.

Kullanıcı arayüzü tercihleri (tema, daraltılmış kenar çubuğu, dil), hassas olmayan özellik bayrakları, taslak form içerikleri ve geçici sihirbaz durumu güvenle saklanabilir. Bunlar zaten kullanıcı tarafından görülebilir ve sızdırılmaları hesap ele geçirmeyi mümkün kılmaz.

Kimlik doğrulamayı Set-Cookie: token=...; HttpOnly; Secure; SameSite=Strict aracılığıyla sağlayın. HttpOnly bayrağı, çereze JavaScript tarafından erişilmesini engeller; böylece sayfada başka hatalar bulunsa bile belirteç çalan XSS yüklerinin çoğunu etkisiz hâle getirir.

Hassas görünümlü verileri önbelleğe almak zorundaysanız kapsamını sıkı biçimde sınırlayın (kısa TTL kullanın, oturum kapatıldığında temizleyin, sessionStorage aracılığıyla sekme kapatıldığında kaldırın), eklenen betikleri engellemek için katı bir İçerik Güvenliği Politikası uygulayın ve kimlik doğrulaması yapılmış sayfalarda çalışan her üçüncü taraf betiğini denetleyin.

Kimlik doğrulama belirteçlerinin localStorage içinde saklanması neden güvenlik riski olarak kabul edilir?

Web Depolama düz metin biçimindedir, betikler tarafından okunabilir ve kaynak başına paylaşılır. Kimlik doğrulama belirteçlerini, parolaları, ödeme verilerini veya düzenlemeye tabi kişisel bilgileri asla buraya koymayın. Gizli bilgileri httpOnly çerezlerinde tutun ve localStorage alanını, kullanıcının zaten görebileceği zararsız kullanıcı arayüzü durumları için ayırın.