Yazılım loglarında hangi bilgiler bulunmamalı?

Hata ayıklamak için bütün isteği kaydetmek kolaydır; ancak istek içinde şifre, erişim anahtarı veya müşteri bilgisi olabilir. Loglar yeni bir veri sızıntısı yüzeyine dönüşebilir.

Amaç kadar veri

İşlem kimliği, zaman, sonuç ve hata türü çoğu inceleme için başlangıç sağlar. Hassas alanlar maskelenmeli veya hiç kaydedilmemelidir. Hangi çalışanın hangi loga erişeceği belirlenmelidir.

Gizli anahtarlar için güvenli saklama yaklaşımı loglara da yansıtılmalıdır; OWASP rehberi bu bilgilerin yaşam döngüsünü değerlendirmeye yardımcı olur.

Saklama sınırı

Logların ne kadar tutulacağı ve nasıl silineceği tanımlansın. Gereksiz ayrıntıyı süresiz saklamak teşhis kalitesini otomatik artırmaz. Testte kasıtlı hata üretip loglara hangi alanların düştüğünü inceleyin; yalnızca ekrandaki hata mesajına bakmayın.