امنیت برای پشتیبان برنامه های وب مبتنی بر محتوا
با مجموعه‌ها، منظم بمانید
ذخیره و طبقه‌بندی محتوا براساس اولویت‌های شما.
امنیت Backend که به عنوان امنیت سمت سرور نیز شناخته می‌شود، به اقداماتی اشاره دارد که برای محافظت از اجزای پشتیبان یک برنامه وب، از جمله سرورها، هسته سمت سرور، پایگاه داده و نقاط انتهایی API در برابر تهدیدات و آسیب‌پذیری‌ها استفاده می‌شود. امنیت یکی از جنبه های ضروری توسعه برنامه های کاربردی وب است زیرا محرمانه بودن، یکپارچگی و در دسترس بودن داده های خصوصی مشتری را تضمین می کند.
یکی از مزایای استفاده از محصولات Backend به عنوان سرویس این است که بسیاری از کارهای مدیریت تهدید برای شما انجام می شود. اما حتی امن ترین بک اند نیز می تواند با تنظیم نادرست مجوزهای کاربر، ناامن شود.
هنگام توسعه یک برنامه وب مبتنی بر محتوا، استفاده از تکنیک‌های برنامه‌نویسی، پیکربندی و راه‌اندازی بهترین شیوه‌ها، ابزارها، زیرساخت‌ها و خدمات برای کاهش تهدیدها یا خطرات ضروری است. ده برتر OWASP نمای کلی از خطرات امنیتی برنامه های وب فعلی و در حال ظهور و نحوه کاهش آنها در Google Cloud را ارائه می دهد.
فایروال های برنامه کاربردی وب
فایروال برنامه های کاربردی وب (WAF)، مانند Google Cloud Armor ، یک راه حل امنیتی است که برای محافظت از برنامه های کاربردی وب در برابر انواع تهدیدات آنلاین، از جمله آسیب پذیری ها و حملات رایج وب، طراحی شده است. آنها به عنوان یک لایه بین درخواست‌های خارجی و سیستم‌های داخلی شما عمل می‌کنند که اغلب مستقیماً در موازنه بار یا نقطه پایانی که ترافیک خارجی دریافت می‌شود یکپارچه می‌شوند. آنها درخواست‌های دریافتی را بر اساس سیاست‌های امنیتی که اجازه یا رد ترافیک، مسدود کردن درخواست‌های مخرب و تهدیدات احتمالی را می‌دهد، نظارت و تجزیه و تحلیل می‌کنند. WAF ها اغلب با سایر اقدامات امنیتی، از جمله تست امنیتی منظم، شیوه های کدگذاری ایمن، و کنترل های امنیتی شبکه، برای ایجاد یک استراتژی امنیتی جامع برای برنامه های کاربردی وب استفاده می شوند. بسیاری از ارائه دهندگان ابر خدمات WAF را ارائه می دهند که می توانند در محیط های میزبانی برنامه های وب ادغام شوند.
درباره راه اندازی Google Cloud Armor برای ایمن سازی باطن خود بیشتر بیاموزید .
لایه پروکسی برای ترافیک ورودی
یک لایه پروکسی ورودی، که اغلب به عنوان یک پروکسی معکوس شناخته می شود، یک جزء امنیتی شبکه است که بین درخواست های مشتری و وب سرورها، برنامه ها یا خدمات قرار می گیرد. این درخواست های دریافتی را از طرف سرورهای پشت سر خود انجام می دهد و به عنوان یک واسطه عمل می کند. چندین مزیت از جمله امنیت، تعادل بار، حافظه پنهان و مسیریابی را ارائه می دهد.
لایه های مدیریت شده پروکسی (یا نما) به یک جزء زیرساخت شبکه اشاره دارد که به یک ارائه دهنده شخص ثالث یا یک سرویس مدیریت شده که بر استقرار، نگهداری و عملکرد سرورهای پروکسی برای یک سازمان نظارت دارد، برون سپاری می شود. لایه های پروکسی مدیریت شده امنیت شبکه را افزایش می دهد، عملکرد را بهینه می کند و عملکردهای شبکه اضافی را ارائه می دهد. با استفاده از لایه های پروکسی مدیریت شده، می توانید مسئولیت های عملیاتی و اداری مرتبط با اجزای شبکه را تخلیه کنید و بار تیم های IT داخلی را کاهش دهید. این سرویس‌ها اغلب مقیاس‌پذیر هستند و می‌توانند برای برآورده کردن الزامات امنیتی یا انطباق خاص سفارشی شوند.
به عنوان مثال، برای یک API قابل دسترسی خارجی، Apigee یک پلت فرم مدیریت API بومی ابری است که ویژگی‌هایی را برای مدیریت ترافیک، جداسازی درخواست‌ها و اعمال سیاست‌های امنیتی قبل از رسیدن ترافیک به پشتیبان ارائه می‌کند.
بهترین شیوه های خدمات
بهترین شیوه های امنیتی را برای سرویس هایی که برنامه شما استفاده می کند در نظر بگیرید و توصیه های آن را دنبال کنید. به عنوان مثال، برای Cloud Run مطمئن شوید که درخواست های خود را احراز هویت کرده و منابع ابری خود را ایمن کنید . برای Cloud SQL بهترین شیوه ها را برای پیکربندی، معماری و مدیریت داده های خود دنبال کنید .
یک سیستم مدیریت مخفی مانند Secret Manager ذخیره سازی، مدیریت و دسترسی ایمن به اسرار برنامه شما، مانند کلیدهای API، گواهی ها و کلیدهای رمزنگاری را مدیریت می کند. این سرویس‌ها می‌توانند از طریق کانکتورها به سایر سرویس‌های باطن شما متصل شوند و به سیستم‌های بک‌اند شما امکان دسترسی ایمن به اسرار شما را می‌دهند.
اگر از هر API، SDK یا سرویس دیگری در باطن خود استفاده می‌کنید، بهترین روش‌های آنها را نیز تحقیق کرده و دنبال کنید. به عنوان مثال، اگر از سرویس پلتفرم Google Maps استفاده می‌کنید، بهترین روش‌های توصیه‌شده را برای مدیریت کلیدهای API و محافظت از برنامه خود دنبال کنید.
نظارت و هشدار، از جمله ورود به سیستم و دسترسی ممیزی نیز جنبه های مهمی هستند که باید در نظر گرفته شوند.
بهترین روش‌های امنیتی Google Cloud، چاپ‌های آبی کلی و مروری بر معماری ایمن و طرح‌های برنامه ارائه می‌دهد. مرکز فرماندهی امنیت شامل مجموعه‌ای از ابزارها برای مدیریت امنیت و ریسک در Google Cloud است، از جمله ابزارهای خودکار برای شناسایی پیکربندی‌های نادرست، آسیب‌پذیری‌ها و سایر خطرات.
توسعه بهترین شیوه ها
بهترین روش ها را برای چارچوب و زبانی که برای پیاده سازی backend استفاده می کنید، دنبال کنید. اکثر چارچوب های وب محبوب، راهنماها و بهترین روش ها را منتشر کرده اند.
ابزار تجزیه و تحلیل خودکار را به عنوان بخشی از توسعه یا خط لوله خود برای کمک به شناسایی مشکلات احتمالی در نظر بگیرید.
راهنمای تست امنیت وب OWASP یک چارچوب آزمایشی را ارائه می دهد که به طور خاص برنامه های وب را هدف قرار می دهد.
جز در مواردی که غیر از این ذکر شده باشد،محتوای این صفحه تحت مجوز Creative Commons Attribution 4.0 License است. نمونه کدها نیز دارای مجوز Apache 2.0 License است. برای اطلاع از جزئیات، به خطمشیهای سایت Google Developers مراجعه کنید. جاوا علامت تجاری ثبتشده Oracle و/یا شرکتهای وابسته به آن است.
تاریخ آخرین بهروزرسانی 2025-07-24 بهوقت ساعت هماهنگ جهانی.
[null,null,["تاریخ آخرین بهروزرسانی 2025-07-24 بهوقت ساعت هماهنگ جهانی."],[[["\u003cp\u003eBackend security focuses on safeguarding servers, databases, and APIs to protect sensitive data.\u003c/p\u003e\n"],["\u003cp\u003eUtilizing Web Application Firewalls (WAFs) and proxy layers enhances security by filtering malicious traffic and acting as intermediaries between clients and servers.\u003c/p\u003e\n"],["\u003cp\u003eImplementing service-specific security best practices, such as authentication and resource access control, is crucial for individual components of your backend infrastructure.\u003c/p\u003e\n"],["\u003cp\u003eEmploying a secret management system and adhering to development best practices, including secure coding and automated analysis, strengthens overall application security.\u003c/p\u003e\n"],["\u003cp\u003eContinuous monitoring, alerting, and leveraging security tools like Google Cloud's Security Command Center are essential for ongoing threat detection and mitigation.\u003c/p\u003e\n"]]],["Backend security involves safeguarding server-side components like servers, databases, and APIs. Key actions include implementing Web Application Firewalls (WAFs) like Google Cloud Armor, utilizing proxy layers for traffic management, and following service-specific security best practices. Secret management systems, such as Secret Manager, secure sensitive data. Monitoring, alerting, logging, auditing access, and development best practices, including the OWASP testing guide, are essential for risk mitigation.\n"],null,["# Security for content-driven web app backends\n\nBackend security, also known as server-side security, refers to the practices\nused to protect the backend components of a web application, including servers,\nserver-side core, database, and API endpoints from threats and vulnerabilities.\nSecurity is an essential aspect of web application development since it ensures\nconfidentiality, integrity, and availability of private customer data.\n\nOne of the advantages of using Backend as a Service products is that a lot of\nthe threat management work is being done for you. But even the most secure\nbackend can be made insecure by, for example, setting incorrect user\npermissions.\n\nWhen developing a content-driven web application, it is essential to utilize\nprogramming techniques, configuration and setup best practices, tooling,\ninfrastructure, and services to mitigate potential threats or risks. The [OWASP\nTop Ten](https://owasp.org/www-project-top-ten/) provides an\noverview of current and emerging web application security risks and [how they\ncan be mitigated on Google\nCloud](https://cloud.google.com/architecture/owasp-top-ten-mitigation).\n\nWeb Application Firewalls\n-------------------------\n\nA Web Application Firewall (WAF), such as [Google Cloud\nArmor](https://cloud.google.com/armor/docs/cloud-armor-overview), is a security\nsolution designed to protect web applications from a variety of online threats,\nincluding common web vulnerabilities and attacks. They act as a layer between\nexternal requests and your internal systems, often integrated directly at the\nload balancing or endpoint where external traffic is received. They monitor and\nanalyze incoming requests based on security policies that permit or deny\ntraffic, blocking malicious requests and potential threats. WAFs are often used\nwith other security measures, including regular security testing, secure coding\npractices, and network security controls, to create a comprehensive security\nstrategy for web applications. Many cloud providers offer WAF services that can\nbe integrated into web application hosting environments.\n\n[Learn more about setting up Google Cloud Armor to secure your\nbackend](https://cloud.google.com/armor/docs/how-to).\n\nProxy layer for incoming traffic\n--------------------------------\n\nAn incoming proxy layer, often referred to as a reverse proxy, is a network\nsecurity component that sits between client requests and web servers,\napplications, or services. It handles incoming requests on behalf of the servers\nbehind it, acting as an intermediary. It provides several benefits, including\nsecurity, load balancing, caching, and routing.\n\nManaged proxy (or facade) layers refer to a network infrastructure component\nthat is outsourced to a 3rd party provider or a managed service that oversees\nthe deployment, maintenance, and operation of proxy servers for an organization.\nManaged proxy layers enhance network security, optimize performance, and provide\nadditional networking functions. By utilizing managed proxy layers, you can\noffload the operational and administrative responsibilities associated with\nnetworking components, reducing the burden on in-house IT teams. These services\nare often scalable and can be customized to meet specific security or compliance\nrequirements.\n\nFor example, for an externally accessible API, [Apigee is a cloud-native API\nmanagement\nplatform](https://cloud.google.com/apigee/docs/api-platform/get-started/what-apigee)\nthat provides features to manage traffic, isolate requests, and enforce security\npolicies before traffic reaches the backend.\n\nService best practices\n----------------------\n\nConsider the security best practices for the services your application is using\nand follow its advice. For example, for Cloud Run make sure to [authenticate\nyour requests](https://cloud.google.com/run/docs/authenticating/overview) and\n[secure your cloud\nresources](https://cloud.google.com/run/docs/securing/managing-access). For\n[Cloud SQL follow the best\npractices](https://cloud.google.com/sql/docs/postgres/best-practices) for\nconfiguring, architecting and managing your data.\n\nA secret management system like [Secret\nManager](https://cloud.google.com/secret-manager/docs/overview) handles secure\nstorage, management and access to your application's secrets, such as API keys,\ncertificates and cryptographic keys. These services can be connected to your\nother backend services through connectors, allowing your backend systems to\naccess your secrets securely.\n\nIf you use any other APIs, SDKs or services in your backend, also research and\nfollow their best practices. For example, if you use a Google Maps Platform\nservice, follow the [recommended best practices for handling API keys and\nprotecting your\napplication](https://developers.google.com/maps/api-security-best-practices).\n\nMonitoring and alerting, including logging and auditing access are also\nimportant aspects to consider.\n\nThe [Google Cloud security best\npractices](https://cloud.google.com/security/best-practices) provide general\nblue prints and overviews over secure architecture and app designs. The\n[Security Command Center](https://cloud.google.com/security-command-center)\nincludes a suite of tools for security and risk management on Google Cloud,\nincluding automated tooling to identify misconfigurations, vulnerabilities and\nother risks.\n\nDevelopment best practices\n--------------------------\n\nFollow the best practices for the framework and language you use to implement\nthe backend. Most popular web frameworks have published guides and best\npractices to follow.\n\nConsider automated analysis tooling as part of your development or build\npipeline to help identify potential issues.\n\nThe [OWASP Web Security Testing\nGuide](https://owasp.org/www-project-web-security-testing-guide/)\nprovides a testing framework that is specifically targeted at web applications."]]
