CSP
CSP sta per Content Security Policy, un header di risposta HTTP (Content-Security-Policy) che mette in whitelist le sorgenti da cui contenuti come script, stili e immagini possono essere caricati. Una policy rigorosa basata su nonce o hash è una difesa di primo piano contro il cross-site scripting perché lo script inline non in whitelist viene bloccato dal browser.
CSRF
CSRF sta per Cross-Site Request Forgery, un attacco che abusa dei cookie allegati automaticamente di un utente autenticato per eseguire richieste non volute che modificano lo stato. Si contrasta con token anti-CSRF e con l'attributo cookie SameSite.
XSS
XSS sta per Cross-Site Scripting, una vulnerabilità di injection in cui script controllato dall'attaccante viene eseguito nel browser della vittima all'interno dell'origine di un sito fidato. Si presenta nelle forme stored, reflected e DOM-based e si mitiga con output encoding consapevole del contesto unito alla CSP.
SSRF
SSRF sta per Server-Side Request Forgery, dove un attaccante costringe il server a effettuare richieste verso destinazioni scelte dall'attaccante, spesso servizi interni o l'endpoint di metadati cloud. L'allow-listing delle destinazioni e il blocco dei range IP interni sono le difese principali.
IDOR
IDOR sta per Insecure Direct Object Reference, una falla di broken access control in cui identificatori forniti dall'utente raggiungono gli oggetti senza un controllo di proprietà. È l'equivalente pratico del Broken Object Level Authorization (BOLA) nella sicurezza delle API.
BOLA
BOLA sta per Broken Object Level Authorization, il rischio numero uno nella OWASP API Security Top 10. Si verifica quando un'API si fida di un ID oggetto fornito dal client senza verificare che il chiamante sia autorizzato per quello specifico oggetto.
SQLi
SQLi sta per SQL Injection, un attacco di injection che manipola la struttura di una query al database tramite input non fidato. La contromisura definitiva sono le query parametrizzate (prepared statement) anziché la concatenazione di stringhe.
TLS
TLS sta per Transport Layer Security, il protocollo che protegge i dati in transito ed è alla base di HTTPS. TLS 1.3 è la versione attualmente raccomandata, che offre un handshake più rapido e la rimozione delle suite di cifrari legacy e deboli.
SSL
SSL sta per Secure Sockets Layer, il predecessore deprecato di TLS. Il termine "certificato SSL" persiste colloquialmente, ma tutte le versioni di SSL sono insicure e obsolete; i sistemi moderni usano TLS.
HSTS
HSTS sta per HTTP Strict Transport Security, un header di risposta che forza i browser a usare HTTPS per un host per una durata stabilita. Difende da attacchi di SSL-stripping e downgrade di protocollo e può essere esteso tramite la lista di preload.
MFA
MFA sta per Multi-Factor Authentication, che richiede due o più fattori indipendenti (conoscenza, possesso, inerenza) per il login. L'MFA resistente al phishing basata su WebAuthn/FIDO2 è molto più forte di SMS o codici usa-e-getta.
2FA
2FA sta per Two-Factor Authentication, la forma più comune di MFA, che combina esattamente due fattori come una password più un codice TOTP o una chiave di sicurezza. Blocca gli attacchi che fanno leva su una sola password rubata.
TOTP
TOTP sta per Time-based One-Time Password (RFC 6238), un codice di sei-otto cifre derivato da un segreto condiviso e dall'ora corrente, mostrato dalle app authenticator. È un secondo fattore comune ma, a differenza di WebAuthn, resta soggetto a phishing.
OAuth
OAuth fa riferimento a OAuth 2.0, un framework di autorizzazione per l'accesso delegato e basato su token alle risorse di un utente senza condividere la password. Gestisce l'autorizzazione, non l'autenticazione; OpenID Connect aggiunge il livello di identità.
OIDC
OIDC sta per OpenID Connect, un livello di autenticazione sopra OAuth 2.0 che emette un ID token (un JWT firmato) che descrive l'utente autenticato. Fornisce login standardizzato e claim di profilo per le relying party.
JWT
JWT sta per JSON Web Token (RFC 7519), un token compatto, firmato e URL-safe che trasporta claim JSON per l'autenticazione stateless. Il suo payload è firmato ma non segreto, e la firma va sempre verificata con un algoritmo atteso.
PKCE
PKCE sta per Proof Key for Code Exchange, un'estensione di OAuth 2.0 che lega un authorization code a un segreto per-richiesta così che un codice rubato non possa essere riscattato. È obbligatorio per i client pubblici e standard in OAuth 2.1.
CORS
CORS sta per Cross-Origin Resource Sharing, un meccanismo imposto dal browser che lascia che i server acconsentano a richieste cross-origin tramite header di risposta. Allenta la same-origin policy e non è di per sé un sistema di controllo accessi o autenticazione.
SOP
SOP sta per Same-Origin Policy, la regola del browser che isola documenti e script per origine (schema, host, porta). È il cardine della sicurezza del browser e la ragione per cui esiste il CORS.
SRI
SRI sta per Subresource Integrity, una funzionalità del browser in cui un hash integrity su uno script o un foglio di stile garantisce che il file scaricato corrisponda al contenuto atteso. Protegge da asset ospitati su CDN manomessi o compromessi.
WAF
WAF sta per Web Application Firewall, un filtro del traffico HTTP che blocca le richieste che corrispondono a firme di attacco note. È difesa in profondità e uno strumento di virtual patching, mai un sostituto della scrittura di codice sicuro.
OWASP
OWASP sta per Open Worldwide Application Security Project, un'organizzazione no-profit che produce risorse di sicurezza gratuite tra cui la Top 10, la API Security Top 10, l'ASVS e la Cheat Sheet Series. Le sue liste sono riferimenti di fatto del settore per i rischi web.
ASVS
ASVS sta per OWASP Application Security Verification Standard, un framework di requisiti di sicurezza verificabili organizzati in livelli (1-3). I team lo usano come checklist per progettazione, sviluppo e test di sicurezza.
CVE
CVE sta per Common Vulnerabilities and Exposures, un catalogo di falle di sicurezza divulgate pubblicamente, ciascuna con un identificatore univoco come CVE-2021-44228. Fornisce un riferimento comune così che strumenti e advisory possano nominare la stessa vulnerabilità.
CVSS
CVSS sta per Common Vulnerability Scoring System, uno standard per valutare la gravità di una vulnerabilità su una scala 0-10 da metriche di sfruttabilità e impatto. Aiuta i team a dare priorità alla remediation ma va combinato con il contesto di business.
SAST
SAST sta per Static Application Security Testing, l'analisi del codice sorgente o dei binari alla ricerca di vulnerabilità senza eseguire il programma. Trova le falle presto nella pipeline ma produce falsi positivi e non vede la configurazione a runtime.
DAST
DAST sta per Dynamic Application Security Testing, che sonda un'applicazione in esecuzione dall'esterno come farebbe un attaccante. Coglie problemi di configurazione e runtime che l'analisi statica perde ma offre una localizzazione meno precisa a livello di sorgente.
SBOM
SBOM sta per Software Bill of Materials, un inventario formale dei componenti e delle dipendenze di un software. È centrale per gestire il rischio di supply chain e rispondere rapidamente a vulnerabilità di dipendenze appena divulgate.
Token CSRF
Un token CSRF è un valore imprevedibile, per sessione o per richiesta, che il server emette e valida per confermare che una richiesta che modifica lo stato sia originata dai propri form. I pattern synchronizer-token e double-submit-cookie sono le due implementazioni comuni.
RBAC
RBAC sta per Role-Based Access Control, un modello di autorizzazione che concede permessi ai ruoli e assegna ruoli agli utenti. Semplifica la gestione su larga scala; l'ABAC (basato su attributi) aggiunge regole più fini e consapevoli del contesto quando i soli ruoli sono troppo grossolani.
PII
PII sta per Personally Identifiable Information, dati che possono identificare un individuo come nome, email, documento d'identità o posizione. I sistemi web devono proteggerli con cifratura, controllo accessi e minimizzazione dei dati, e gestirli secondo normative come il GDPR.
DoS / DDoS
DoS sta per Denial of Service e DDoS per Distributed Denial of Service, attacchi che esauriscono le risorse di un bersaglio per renderlo indisponibile, usando nella forma distribuita molti host compromessi. Le mitigazioni web includono rate limiting, CDN, scrubbing del traffico e autoscaling con circuit breaker.