Station55: Ausführlichen Kundenleitfaden ergänzt

2026-09-20T20:07:43Z

Ausführlichen Kundenleitfaden ergänzt

Neue Seite

Anwendungen bestehen aus Frameworks, Bibliotheken, Plugins, Themes, Images und Build-Werkzeugen. Auch unveränderter eigener Code kann dadurch später verwundbar werden.

== Inventar führen ==

Dokumentieren Sie mindestens:

* Anwendung und Version
* PHP-, Node.js- oder andere Laufzeitversionen
* Composer- und npm-Abhängigkeiten
* CMS-Plugins, Themes und Erweiterungen
* Container-Images und Tags beziehungsweise Digests
* externe APIs und Build-Dienste

== Lock-Dateien verwenden ==

<code>composer.lock</code> und <code>package-lock.json</code> legen geprüfte Abhängigkeitsstände fest. Committen Sie Lock-Dateien für Anwendungen und verwenden Sie im Deployment <code>composer install</code> beziehungsweise <code>npm ci</code>, statt unkontrolliert neue Versionen auszuwählen.

== Regelmäßige Prüfung ==

<syntaxhighlight lang="bash">
composer audit
npm audit
</syntaxhighlight>

Bewerten Sie jeden Fund anhand der tatsächlich verwendeten Funktion und Umgebung. Ignorieren Sie Warnungen nicht pauschal, führen Sie aber auch keine ungeprüften automatischen Hauptversionsupdates direkt in Produktion aus.

== Vertrauenskette schützen ==

# Verwenden Sie offizielle Paketquellen und TLS.
# Prüfen Sie neue Maintainer, ungewöhnliche Paketwechsel und Installationsskripte.
# Begrenzen Sie Rechte von CI-, Registry- und Deployment-Tokens.
# Bauen und testen Sie Updates in einer isolierten Umgebung.
# Halten Sie ein Rollback und passende Backups bereit.
# Entfernen Sie nicht mehr benötigte Pakete und Plugins.

== Verwandte Artikel ==

* [[Composer im Produktivbetrieb sicher verwenden]]
* [[Node.js und npm für Website-Builds verwenden]]
* [[Website-Deployment mit Wartungsmodus und Rollback]]

[[Category:Entwicklung und Deployment]]
[[Category:Sicherheit und Kontoschutz]]

Abhängigkeiten, Updates und Supply-Chain-Risiken - Versionsgeschichte

Station55: Ausführlichen Kundenleitfaden ergänzt