Ziel und Grenze zuerst festhalten
Vor Beginn Abnahmekriterien, zulässige Datentypen und niemals zu automatisierende Entscheidungen festhalten. Beispiele synthetisch halten; keine echten Personendaten, Geheimnisse, Schlüssel oder lizenzierten Volltexte kopieren.
CSP, SRI, Prüfsummen, HTTP-Verhalten und Geheimnisse vor Release nachvollziehbar prüfen.
- Keine Geheimnisse im Client-Bundle.
- CSP im Report-Only-Modus mit echten Quellen testen.
- Algorithmusprüfung ist keine Sicherheitsfreigabe.
Praktischer Ablauf
SRI für Drittressource erzeugen, CSP-Entwürfe vergleichen und sichere Meldungen für 404/429/500 zeigen.
Jede Ausgabe ist Beobachtung oder regelbasierte Transformation – keine Identitätsprüfung, Rechtskonformität, Sicherheitszertifizierung oder Expertenentscheidung. Folgenreiche Ergebnisse unabhängig prüfen.
- 1. csp-direktif-birlestirici
- 2. sri-hash-olusturucu
- 3. http-durum-kodu-rehberi
Ergebnis verifizieren
Eingabe und Ausgabe nebeneinander halten; geänderte Felder, Regel und menschliche Freigabe markieren. Neben gültigen Beispielen auch leere, fehlerhafte, übergroße und unerwartete Unicode-Eingaben testen.
- Keine Geheimnisse im Client-Bundle.
- CSP im Report-Only-Modus mit echten Quellen testen.
- Algorithmusprüfung ist keine Sicherheitsfreigabe.
Fehlerpfad und Wiederherstellung
Bei Fehlern die Ausgabe nicht erzwingen. Zur letzten geprüften Kopie zurückkehren, Eingabe verkleinern, Fehlermeldung von Personendaten/Geheimnissen bereinigen und Stoppbedingung dokumentieren.
- Keine Geheimnisse im Client-Bundle.
- CSP im Report-Only-Modus mit echten Quellen testen.
- Algorithmusprüfung ist keine Sicherheitsfreigabe.
Wiederholbare Checkliste
Die Methode ist klar, wenn eine andere Person sie allein mit diesem Protokoll wiederholen kann. Quelle, Datum, Werkzeugversion, Eingabeschema, Sollausgabe, Grenzen und Rücknahmekopie gemeinsam speichern.
- Keine Geheimnisse im Client-Bundle.
- CSP im Report-Only-Modus mit echten Quellen testen.
- Algorithmusprüfung ist keine Sicherheitsfreigabe.