django-secure

django-sécurisé est une application qui vous aide à Django ne oubliez pas de faire les petites choses stupides pour améliorer la sécurité de votre site Django.
Inspiré par Secure directives de codification de Mozilla, et destinés à des sites qui sont entièrement ou principalement servi sur SSL (qui devrait inclure ne importe quoi avec les connexions des utilisateurs).
Quickstart
Testé avec Django 1.2 à tronc, et Python 2.5 à 2.7. Fonctionne très probable avec les anciennes versions de deux, bien; ce ne est pas très compliqué.
Installation
Installer à partir d'PyPI avec pip:
pip installer django-sécurisé
ou obtenir la version en développement:
pip installer django-sécurisé == dev
Utilisation
- Ajouter "djangosecure" à votre paramètre INSTALLED_APPS.
- Ajouter "djangosecure.middleware.SecurityMiddleware" à votre paramètre MIDDLEWARE_CLASSES (où dépend de vos autres middlewares, mais proche du début de la liste est probablement un bon choix).
- Réglez la SECURE_SSL_REDIRECT True si toutes les demandes non-SSL doivent être redirigés de façon permanente à SSL.
- Définissez les SECURE_HSTS_SECONDS réglage à un nombre entier de secondes, si vous voulez utiliser HTTP Strict Transport Security.
- Réglez la SECURE_FRAME_DENY True, si vous voulez éviter le cadrage de vos pages et les protéger contre clickjacking.
- Set SESSION_COOKIE_SECURE et SESSION_COOKIE_HTTPONLY sur True si vous utilisez django.contrib.sessions. Ces paramètres ne sont pas partie de django-sécurisés, mais ils devraient être utilisés si vous utilisez un site sécurisé, et la commande de gestion de checksecure vont vérifier leurs valeurs.
- Exécuter python manage.py checksecure pour vérifier que vos paramètres sont correctement configurés pour servir un site SSL sécurisée.

Avertissement
Si checksecure vous donne le feu vert, tout cela signifie, ce est que vous êtes maintenant en profitant d'une petite sélection de victoires de sécurité simples et faciles. Ce est très bien, mais il ne veut pas dire votre site ou votre base de code est sécurisé: seul un audit de sécurité compétente peut vous le dire.
Documentation
Voir la documentation complète pour plus de détails

Quoi de neuf dans cette version:.

• Ajout de la création de SECURE_HSTS_INCLUDE_SUBDOMAINS. Merci Paul McMillan pour le rapport et Donald Stufft pour le patch. Corrige # 13.
• Ajout de la X-XSS-Protection: 1; mode = tête de bloc. Merci Johannas Heller.

Exigences :

• Python
• Django