الأمان لخلفيات تطبيقات الويب التي تعتمد على المحتوى
تنظيم صفحاتك في مجموعات
يمكنك حفظ المحتوى وتصنيفه حسب إعداداتك المفضّلة.
يشير مصطلح أمان الخلفية، والمعروف أيضًا باسم الأمان من جهة الخادم، إلى الممارسات المستخدَمة لحماية مكونات الخلفية لتطبيق ويب، بما في ذلك الخوادم والنواة الأساسية من جهة الخادم وقاعدة البيانات ونقاط نهاية واجهة برمجة التطبيقات من التهديدات والثغرات الأمنية.
يُعدّ الأمان جانبًا أساسيًا في تطوير تطبيقات الويب لأنّه يضمن
سرية بيانات العميل الخاصة وسلامتها وتوفّرها.
تتمثل إحدى مزايا استخدام الخلفية كمنتجات "خدمة" في أنه يتم تنفيذ الكثير من أعمال إدارة التهديدات نيابةً عنك. ولكن حتى الواجهة الخلفية الأكثر أمانًا يمكن أن تصبح غير آمنة، مثلاً، ضبط أذونات غير صحيحة للمستخدم.
عند تطوير تطبيق ويب يستند إلى المحتوى، من الضروري استخدام تقنيات البرمجة، وأفضل ممارسات التكوين والإعداد، والأدوات، والبنية الأساسية، والخدمات للتخفيف من التهديدات أو المخاطر المحتملة. يوفّر تقرير OWASP
Top Ten نظرة عامة على المخاطر الأمنية الحالية والناشئة في تطبيقات الويب وكيفية الحدّ من تلك المخاطر على Google Cloud.
جدران الحماية لتطبيقات الويب
جدار الحماية لتطبيقات الويب (WAF)، مثل Google Cloud Armor، هو حلّ أمان تم تصميمه لحماية تطبيقات الويب من مجموعة متنوعة من التهديدات على الإنترنت، بما في ذلك الثغرات والهجمات الشائعة على الويب. وهي تعمل كطبقة بين الطلبات الخارجية والأنظمة الداخلية، وغالبًا ما يتم دمجها مباشرةً في موازنة الحمل أو نقطة النهاية التي يتم فيها تلقّي زيارات خارجية. تراقب هذه البرامج الطلبات الواردة وتحللها بناءً على سياسات الأمان التي تسمح بالزيارات أو ترفضها، وتحظر الطلبات الضارة والتهديدات المحتملة. وغالبًا ما يتم استخدام WAF مع إجراءات الأمان الأخرى، بما في ذلك اختبار الأمان المنتظم وممارسات الترميز الآمن وعناصر التحكم في أمان الشبكة، وذلك لإنشاء استراتيجية أمان شاملة لتطبيقات الويب. يقدم العديد من مقدمي الخدمات السحابية خدمات WAF التي يمكن
دمجها في بيئات استضافة تطبيقات الويب.
مزيد من المعلومات حول إعداد Google Cloud Armor لتأمين
الخلفية.
طبقة الخادم الوكيل للزيارات الواردة
طبقة الخادم الوكيل الواردة، التي يُشار إليها غالبًا باسم الوكيل العكسي، هي أحد مكونات أمان الشبكة التي تقع بين طلبات العميل وخوادم الويب أو التطبيقات أو الخدمات. ويتعامل مع الطلبات الواردة نيابةً عن الخوادم
التابعة له ويعمل كوسيط. ويوفر العديد من المزايا، بما في ذلك
الأمان، وموازنة التحميل، والتخزين المؤقت، والتوجيه.
تشير طبقات الخادم الوكيل (أو الواجهة) المُدارة إلى مكون البنية الأساسية للشبكة الذي يتم إسناده إلى موفر خارجي أو خدمة مُدارة تشرف على نشر الخوادم الوكيلة وصيانتها وتشغيلها في مؤسسة.
تعمل طبقات الخادم الوكيل المُدارة على تحسين أمان الشبكة وتحسين الأداء، فضلاً عن توفير وظائف إضافية للشبكات. باستخدام طبقات الخادم الوكيل المُدارة، يمكنك التخلص من المسؤوليات التشغيلية والإدارية المرتبطة بمكونات الشبكة، مما يقلل من أعباء فرق تكنولوجيا المعلومات داخل الشركة. غالبًا ما تكون هذه الخدمات قابلة للتطوير ويمكن تخصيصها لاستيفاء متطلبات الأمان أو الامتثال المحدّدة.
على سبيل المثال، بالنسبة إلى واجهة برمجة تطبيقات يمكن الوصول إليها خارجيًا، Apigee هي منصة لإدارة واجهة برمجة التطبيقات مستنِدة إلى السحابة الإلكترونية
توفّر ميزات لإدارة حركة الزيارات وفصل الطلبات وفرض سياسات الأمان قبل وصول حركة البيانات إلى الخلفية.
أفضل الممارسات المتعلقة بالخدمة
ننصحك بمراجعة أفضل ممارسات الأمان للخدمات التي يستخدمها تطبيقك واتّباع النصائح الواردة فيه. على سبيل المثال، بالنسبة إلى Cloud Run، احرص على مصادقة
طلباتك و
تأمين موارد
السحابة الإلكترونية. بالنسبة إلى
Cloud SQL اتّباع أفضل
الممارسات لضبط البيانات وتصميمها وإدارتها.
يعالج نظام إدارة سري مثل Secret
Manager ميزات التخزين الآمن والإدارة والوصول إلى أسرار التطبيق، مثل مفاتيح واجهة برمجة التطبيقات والشهادات ومفاتيح التشفير. يمكن ربط هذه الخدمات بخدماتك الأخرى في الخلفية من خلال الموصلات، مما يسمح لأنظمتك الخلفية بالوصول إلى أسرارك بشكل آمن.
إذا كنت تستخدم أي واجهات برمجة تطبيقات أو حزم SDK أو خدمات أخرى في الخلفية، عليك أيضًا البحث عن أفضل الممارسات واتّباعها. على سبيل المثال، إذا كنت تستخدم خدمة "منصة خرائط Google"، يُرجى اتّباع أفضل الممارسات المقترَحة للتعامل مع مفاتيح واجهة برمجة التطبيقات وحماية تطبيقك.
المراقبة والتنبيه، بما في ذلك تسجيل الدخول وتدقيق الوصول هي أيضًا جوانب مهمة يجب مراعاتها.
توفّر أفضل ممارسات الأمان في Google Cloud
مطبوعات زرقاء ونظرة عامة حول التصاميم الآمنة للتطبيقات وتصميمات التطبيقات. يضم
مركز طلبات الأمان
مجموعة من أدوات الأمان وإدارة المخاطر على Google Cloud،
بما في ذلك أدوات مبرمَجة لتحديد عمليات الضبط الخاطئة والثغرات
والمخاطر الأخرى.
أفضل الممارسات المتعلقة بالتطوير
اتبع أفضل الممارسات لإطار العمل واللغة اللذين تستخدمهما
لتنفيذ الخلفية. نشرت معظم أطر عمل الويب الشائعة
أدلة وأفضل الممارسات التي يجب اتباعها.
يمكنك استخدام أدوات التحليل التلقائي كجزء من عملية التطوير أو إنشاء مسار للمساعدة في تحديد المشاكل المحتملة.
يوفر دليل اختبار أمان الويب من OWASP
إطار عمل اختبار يستهدف تطبيقات الويب تحديدًا.
إنّ محتوى هذه الصفحة مرخّص بموجب ترخيص Creative Commons Attribution 4.0 ما لم يُنصّ على خلاف ذلك، ونماذج الرموز مرخّصة بموجب ترخيص Apache 2.0. للاطّلاع على التفاصيل، يُرجى مراجعة سياسات موقع Google Developers. إنّ Java هي علامة تجارية مسجَّلة لشركة Oracle و/أو شركائها التابعين.
تاريخ التعديل الأخير: 2025-07-25 (حسب التوقيت العالمي المتفَّق عليه)
[null,null,["تاريخ التعديل الأخير: 2025-07-25 (حسب التوقيت العالمي المتفَّق عليه)"],[[["\u003cp\u003eBackend security focuses on safeguarding servers, databases, and APIs to protect sensitive data.\u003c/p\u003e\n"],["\u003cp\u003eUtilizing Web Application Firewalls (WAFs) and proxy layers enhances security by filtering malicious traffic and acting as intermediaries between clients and servers.\u003c/p\u003e\n"],["\u003cp\u003eImplementing service-specific security best practices, such as authentication and resource access control, is crucial for individual components of your backend infrastructure.\u003c/p\u003e\n"],["\u003cp\u003eEmploying a secret management system and adhering to development best practices, including secure coding and automated analysis, strengthens overall application security.\u003c/p\u003e\n"],["\u003cp\u003eContinuous monitoring, alerting, and leveraging security tools like Google Cloud's Security Command Center are essential for ongoing threat detection and mitigation.\u003c/p\u003e\n"]]],["Backend security involves safeguarding server-side components like servers, databases, and APIs. Key actions include implementing Web Application Firewalls (WAFs) like Google Cloud Armor, utilizing proxy layers for traffic management, and following service-specific security best practices. Secret management systems, such as Secret Manager, secure sensitive data. Monitoring, alerting, logging, auditing access, and development best practices, including the OWASP testing guide, are essential for risk mitigation.\n"],null,["# Security for content-driven web app backends\n\nBackend security, also known as server-side security, refers to the practices\nused to protect the backend components of a web application, including servers,\nserver-side core, database, and API endpoints from threats and vulnerabilities.\nSecurity is an essential aspect of web application development since it ensures\nconfidentiality, integrity, and availability of private customer data.\n\nOne of the advantages of using Backend as a Service products is that a lot of\nthe threat management work is being done for you. But even the most secure\nbackend can be made insecure by, for example, setting incorrect user\npermissions.\n\nWhen developing a content-driven web application, it is essential to utilize\nprogramming techniques, configuration and setup best practices, tooling,\ninfrastructure, and services to mitigate potential threats or risks. The [OWASP\nTop Ten](https://owasp.org/www-project-top-ten/) provides an\noverview of current and emerging web application security risks and [how they\ncan be mitigated on Google\nCloud](https://cloud.google.com/architecture/owasp-top-ten-mitigation).\n\nWeb Application Firewalls\n-------------------------\n\nA Web Application Firewall (WAF), such as [Google Cloud\nArmor](https://cloud.google.com/armor/docs/cloud-armor-overview), is a security\nsolution designed to protect web applications from a variety of online threats,\nincluding common web vulnerabilities and attacks. They act as a layer between\nexternal requests and your internal systems, often integrated directly at the\nload balancing or endpoint where external traffic is received. They monitor and\nanalyze incoming requests based on security policies that permit or deny\ntraffic, blocking malicious requests and potential threats. WAFs are often used\nwith other security measures, including regular security testing, secure coding\npractices, and network security controls, to create a comprehensive security\nstrategy for web applications. Many cloud providers offer WAF services that can\nbe integrated into web application hosting environments.\n\n[Learn more about setting up Google Cloud Armor to secure your\nbackend](https://cloud.google.com/armor/docs/how-to).\n\nProxy layer for incoming traffic\n--------------------------------\n\nAn incoming proxy layer, often referred to as a reverse proxy, is a network\nsecurity component that sits between client requests and web servers,\napplications, or services. It handles incoming requests on behalf of the servers\nbehind it, acting as an intermediary. It provides several benefits, including\nsecurity, load balancing, caching, and routing.\n\nManaged proxy (or facade) layers refer to a network infrastructure component\nthat is outsourced to a 3rd party provider or a managed service that oversees\nthe deployment, maintenance, and operation of proxy servers for an organization.\nManaged proxy layers enhance network security, optimize performance, and provide\nadditional networking functions. By utilizing managed proxy layers, you can\noffload the operational and administrative responsibilities associated with\nnetworking components, reducing the burden on in-house IT teams. These services\nare often scalable and can be customized to meet specific security or compliance\nrequirements.\n\nFor example, for an externally accessible API, [Apigee is a cloud-native API\nmanagement\nplatform](https://cloud.google.com/apigee/docs/api-platform/get-started/what-apigee)\nthat provides features to manage traffic, isolate requests, and enforce security\npolicies before traffic reaches the backend.\n\nService best practices\n----------------------\n\nConsider the security best practices for the services your application is using\nand follow its advice. For example, for Cloud Run make sure to [authenticate\nyour requests](https://cloud.google.com/run/docs/authenticating/overview) and\n[secure your cloud\nresources](https://cloud.google.com/run/docs/securing/managing-access). For\n[Cloud SQL follow the best\npractices](https://cloud.google.com/sql/docs/postgres/best-practices) for\nconfiguring, architecting and managing your data.\n\nA secret management system like [Secret\nManager](https://cloud.google.com/secret-manager/docs/overview) handles secure\nstorage, management and access to your application's secrets, such as API keys,\ncertificates and cryptographic keys. These services can be connected to your\nother backend services through connectors, allowing your backend systems to\naccess your secrets securely.\n\nIf you use any other APIs, SDKs or services in your backend, also research and\nfollow their best practices. For example, if you use a Google Maps Platform\nservice, follow the [recommended best practices for handling API keys and\nprotecting your\napplication](https://developers.google.com/maps/api-security-best-practices).\n\nMonitoring and alerting, including logging and auditing access are also\nimportant aspects to consider.\n\nThe [Google Cloud security best\npractices](https://cloud.google.com/security/best-practices) provide general\nblue prints and overviews over secure architecture and app designs. The\n[Security Command Center](https://cloud.google.com/security-command-center)\nincludes a suite of tools for security and risk management on Google Cloud,\nincluding automated tooling to identify misconfigurations, vulnerabilities and\nother risks.\n\nDevelopment best practices\n--------------------------\n\nFollow the best practices for the framework and language you use to implement\nthe backend. Most popular web frameworks have published guides and best\npractices to follow.\n\nConsider automated analysis tooling as part of your development or build\npipeline to help identify potential issues.\n\nThe [OWASP Web Security Testing\nGuide](https://owasp.org/www-project-web-security-testing-guide/)\nprovides a testing framework that is specifically targeted at web applications."]]
