что происходит с запросом внутри nginx и Apache
Как nginx и Apache выбирают сайт, обрабатывают путь и передают запрос приложению. Что из этого можно проверить чёрным ящиком.
Пингискок.
Баги, уязвимости и security-ресерч. Web2, Web3, Bug Bounty
$
cat /etc/motd
Последние статьи
где на самом деле ломается HTTP
Как прокси и приложение разбирают один запрос по-разному: границы тела, путь, служебные заголовки и ключ кэша.
Постквантовый JWT и будущее токенов
Финал серии. Алгоритм Шора ломает все асимметричные JWT-алгоритмы. ML-DSA подписи по 2.4 KB не влезают в cookie. SD-JWT для selective disclosure. Harvest Now, Decrypt Later — почему миграция JWE на постквантовую криптографию нужна уже сейчас.
RFC 8725 - чеклист который никто не читает
RFC 8725 — пятнадцать правил безопасности JWT от авторов стандарта. Для каждого — какую атаку из серии оно предотвращает, какие CVE существуют, и почему ~65% приложений не проверяют aud. Плюс три новых правила из bis-обновления 2026.
Что вместо JWT - PASETO, Macaroons, opaque tokens и server-side sessions
JWT не идеален — 70+ CVE за десять лет. Разбираем альтернативы: PASETO без поля alg, Macaroons с уникальным attenuation, opaque tokens с мгновенным отзывом, серверные сессии Google/Netflix. Для каждой — что ломать на пентесте.