सिक्योरिटी

हमले के लिए कम जगह, बनावट से ही

सिक्योरिटी हेडर जिन्हें आप ख़ुद पढ़ सकते हैं

साइट का हर रिस्पॉन्स पहले ही दिन से एक सख़्त हेडर सेट के साथ जाता है, और इसमें कुछ भी राज़ नहीं है: इसी पेज पर अपने ब्राउज़र के डेवलपर टूल खोलिए और पढ़ लीजिए।

• एक असली कंटेंट सिक्योरिटी पॉलिसी। स्क्रिप्ट सिर्फ़ साइट के अपने ऑरिजिन से और उन गिनी-चुनी नामित सेवाओं से चलती हैं जिन्हें साइट सच में इस्तेमाल करती है; हर इनलाइन स्क्रिप्ट अलग से एक क्रिप्टोग्राफ़िक हैश से पिन है। इंजेक्ट की गई स्क्रिप्ट को ब्राउज़र चलने से पहले ही ठुकरा देता है।
• Strict transport security। ब्राउज़रों को कहा जाता है कि साइट से सिर्फ़ एन्क्रिप्टेड कनेक्शन पर ही बात करें, स्थायी रूप से, ताकि डाउनग्रेड हमले के पास डाउनग्रेड करने को कुछ बचे ही नहीं।
• न content sniffing, न framing। रिस्पॉन्स अपना टाइप घोषित करते हैं और दोबारा व्याख्या ठुकरा देते हैं, और साइट किसी दुश्मन पेज के फ़्रेम में लोड होकर clickjacking की परत नहीं बन सकती।
• विज़िटर का सम्मान करती referrer policy। बाहर जाने वाले लिंक वह पूरा पता लीक नहीं करते जो विज़िटर पढ़ रहा था।
• टेस्ट सूट से लागू। हेडर सेट हर बदलाव पर जाँचा जाता है, इसलिए कोई कमी चुपचाप शिप होने के बजाय बिल्ड को फ़ेल कर देती है।

फ़ॉर्म की सुरक्षा, परत दर परत

लीड सच में पहुँचती है

संपर्क फ़ॉर्म की चुपचाप वाली विफलता स्पैम का अंदर आना नहीं है; असली मेल का बाहर न निकल पाना है। असत्यापित डोमेन से भेजी गई फ़ॉर्म मेल स्पैम फ़ोल्डर में उतरती है, और किसी को तब तक पता नहीं चलता जब तक कोई ग्राहक यह न कह दे कि उसे कभी जवाब ही नहीं मिला। हमारी चलाई हर साइट एक ठीक से सत्यापित भेजने वाले डोमेन से मेल भेजती है, उन ऑथेंटिकेशन रिकॉर्ड्स के साथ जिन्हें मेल पाने वाले प्रोवाइडर किसी संदेश पर भरोसा करने से पहले जाँचते हैं। डिलिवरेबिलिटी पब्लिश करने के ही हिस्से के तौर पर सत्यापित होती है, इसलिए टूटा हुआ सेंडिंग सेटअप हम डिप्लॉय के समय पकड़ते हैं, आप महीने भर बाद खोई हुई पूछताछ में नहीं।

डिफ़ॉल्ट रूप से निजी, राज़ बाहर ही

• ट्रैकर तभी, जब आप कहें। डिफ़ॉल्ट रूप से कोई थर्ड-पार्टी चीज़ लोड नहीं होती, और अगर एनालिटिक्स लगे भी तो सिर्फ़ कुकी-रहित, यानी पहली मुलाक़ात को गंदा करता कोई consent बैनर भी नहीं। इसकी ग़ैर-मौजूदगी आप अभी नेटवर्क पैनल में देख सकते हैं।
• विज़िटर माल नहीं हैं। साइट उससे ज़्यादा कुछ इकट्ठा नहीं करती जो विज़िटर आप तक पहुँचने के लिए फ़ॉर्म में टाइप करता है, और वह आपके इनबॉक्स में जाता है, किसी मार्केटिंग डेटाबेस में नहीं।
• राज़ कभी कोड में नहीं रहते। कुंजियाँ और क्रेडेंशियल एक अलग सीक्रेट स्टोर में रहते हैं और चलती साइट तक एनवायरनमेंट कॉन्फ़िगरेशन के रूप में पहुँचते हैं। कुछ भी संवेदनशील रिपॉज़िटरी की फ़ाइल नहीं है, इसलिए कोड के साथ कुछ भी संवेदनशील लीक नहीं होता।
• हर डिप्लॉय अपना निशान छोड़ता है। लाइव साइट का हर बदलाव एक समीक्षित कमिट है जिसके पीछे एक पास हुआ टेस्ट रन है, और अगर कभी कुछ पलटना पड़े तो पिछला वर्ज़न सिर्फ़ एक क़दम दूर है।

वेबसाइट प्रोजेक्ट में जो कुछ शामिल है स्पीड और सर्च, बनावट से ही हमें भेजे गए संदेश का क्या होता है