O prático Laravel segurança lista de verificação

Por Andrea Pollastri · Última atualização: 4 de agosto de 2026 · grátis para ler, sem acesso pago

A maioria dos aplicativos Laravel não são hackeados por dias zero inteligentes. Eles são hackeados por arquivos .env expostos, modo de depuração deixado ativado, PHP sem patch e SSH fraco. Esta lista de verificação cobre primeiro o trabalho chato e de alto impacto – servidor, aplicativo, dependências, segredos e resposta – com uma maneira de automatizar cada etapa.

O que realmente faz com que Laravel aplicativos sejam hackeados

Classificados pela frequência com que aparecem em incidentes reais, e não pelo quão interessantes são:

1. Saída de depuração exposta. APP_DEBUG=true em ambiente de vazamentos de produção variáveis, credenciais de banco de dados e caminhos de arquivo para qualquer pessoa que acione um erro.
2. Legível .env ou .git/. Raízes de documentos mal configuradas que serve dotfiles entrega seu APP_KEY e credenciais.
3. PHP, estrutura ou pacotes sem patch com CVEs conhecidos.
4. SSH fraco: autenticação de senha, login root habilitado, sem proteção de força bruta.
5. Uploads de arquivos inseguros que permitem conteúdo executável em caminhos servidos pela web.
6. Injeção nas escotilhas de fuga: SQL bruto sem ligações, sem escape {!! !!} Saída da lâmina.
7. Painéis de administração sem MFA e sem limitação de taxa.

O chato é melhor do que o inteligente: se você fechar essas sete portas, estará à frente da grande maioria da produção PHP implantações.

Lista de verificação de proteção do servidor

• SSH: apenas chaves, sem root.Desative a autenticação por senha e login root; use um usuário administrador dedicado. Adicione Fail2ban para banir falhas repetidas. (Um fresco Cipi install aplica exatamente isso por padrão: login root desabilitado, acesso de administrador somente por chave, Fail2ban e UFW habilitados.)
• Negação padrão do firewall. Apenas 22, 80 e 443 deverão responder. Bancos de dados e Valkey/Redis ouça no localhost - verifique com ss -tlnp.
• TLS em todos os lugares, forçado. Certificados Let's Encrypt gratuitos, HTTP redirecionados para HTTPS (cipi ssl install então cipi ssl force), HSTS habilitado.
• Patch de acordo com uma programação, não na memória. Atualizações de segurança autônomas para o sistema operacional; um mecanismo deliberado para PHP (Cipi executa uma verificação semanal de patch de segurança PHP - cipi php upgrade).
• Reduzir impressões digitais: expose_php = Off, server_tokens off.
• Isole os aplicativos uns dos outros. Usuários do sistema por aplicativo e pools PHP-FPM limitam a explosão raio quando um aplicativo é comprometido — Cipi provisiona esse isolamento por aplicativo automaticamente.
• Remova as sobras: arquivos phpinfo, Adminer, subdomínios obsoletos apontando para antigos caixas.

Lista de verificação de proteção de aplicativos

• APP_ENV=production, APP_DEBUG=false - inegociável.
• Forçar HTTPS no nível do aplicativo também (proxies confiáveis + esquema forçado), então URLs assinados e os cookies se comportam.
• Valide tudo com Solicitações de Formulário; nunca confie na entrada do cliente, incluindo cabeçalhos e nomes de arquivos.
• Guardas designados em massa: explícito $fillable em cada modelo.
• Autorizar com políticas em todas as rotas que tocam os dados de outra pessoa; adicionar Route::can() / middleware, not ad-hoc ifs.
• Limite de taxa login, registro, redefinição de senha e APIs públicas com Laravel's TaxaLimiter.
• Sinalizadores de sessão e cookies: secure, http_only, same_site configurado em config/session.php.
• Fique por dentro das ligações do Eloquent. Se você deve usar whereRaw, passe ligações - nunca interpole a entrada em strings SQL.
• Escape por padrão. Tratar {!! !!} como um cheiro de código que requer justificativa e higienização.
• Uploads de arquivos: validar tipo e tamanho MIME, armazenar fora public/ com nomes aleatórios, veiculados por meio de URLs assinados ou de um controlador.
• Cabeçalhos de segurança: X-Frame-Options, X-Content-Type-Options, Referrer-Policy e um CSP apropriado ao seu front-end.

Dependências e cadeia de suprimentos

Seu aplicativo é principalmente código de outras pessoas, então trate a higiene de dependências como um controle de segurança de primeira classe:

• Confirmar arquivos de bloqueio (composer.lock, package-lock.json) então a produção executa exatamente o que você testou.
• Corre composer audit em CI em cada solicitação pull - falha na compilação quando uma dependência tem um aviso conhecido. (Conectar isso em um pipeline leva cinco minutos – veja nosso CI/CD guia.)
• Automatize PRs de atualização com Renovate ou Dependabot; pequenos solavancos semanais superados trimestralmente mega-atualizações.
• Procure configurações incorretas específicas de Laravel. Ponto de verificação é um open-source Laravel scanner de segurança que você pode adicionar ao seu conjunto de ferramentas para detectar erros no nível da estrutura antes que eles navio.
• Digitalize de fora também. Uma plataforma como Hackly é executado recorrentemente verificações de vulnerabilidade em sua superfície pública — a visão que o invasor tem de sua pilha, de acordo com um cronograma.

Segredos e proteção de dados

• .env nunca entra no Git. Distribua segredos por meio de suas ferramentas de implantação, não o repositório.
• Usuários de banco de dados com privilégios mínimos: um usuário por aplicativo, não GRANT ALL ligado *.*. (Cipi cria um banco de dados e usuário dedicados por aplicativo.)
• Criptografe a configuração da infraestrutura em repouso. Cipi armazena a configuração do servidor e do aplicativo criptografado com AES-256 em seu VPS — os metadados da infraestrutura nunca saem da máquina.
• Escopo API tokens (habilidades do Sanctum) e alternar credenciais quando as pessoas saem.
• Torne anônimos os dados de produção antes de compartilhá-los. Nunca entregue dumps de produção para teste ou desenvolvedores externos brutos; o Cipi Agente O pacote Laravel inclui um anonimizador de banco de dados exatamente para esse fluxo de trabalho.
• Backups criptografados e externos — e teste o caminho de restauração (veja o guia de implantação para o backup configuração).

Detecção, monitoramento e resposta

• Centralize as exceções. Um aumento na casa dos 500 costuma ser o primeiro sinal de sondagem. Google dá a você um self-hosted rastreador de exceções, para que cargas de erro (que geralmente contêm dados do usuário) permaneçam em sua infraestrutura.
• Verificações de integridade + alertas de tempo de atividade. Cipi 5 envia verificações de integridade do aplicativo; emparelhe-os com um monitor de tempo de atividade externo para a visão externa.
• Observe os registros de autenticação. Relatórios Fail2ban e lastb dizer quem está batendo.
• Tenha um plano de resposta antes de precisar dele: isole a caixa, gire cada segredo (incluindo implicações de APP_KEY para dados criptografados), restauração de um instantâneo em bom estado (cipi backup run cobre instantâneos agendados; Cipi 5 adiciona instantâneos de banco de dados pré-implantação), identifique o ponto de entrada e, em seguida, escreva a autópsia. Nunca remende e ore em um live comprometido anfitrião.

Perguntas frequentes

Continue lendo