Security misconfiguration (cấu hình sai về bảo mật) — các thiết lập, giá trị mặc định hoặc cấu hình không an toàn — là một trong những điểm yếu bảo mật phổ biến nhất (một rủi ro trong OWASP Top 10). Nó gồm các default bị phơi bày, tính năng thừa, lỗi chi tiết, và thiếu hardening. Tránh nó đòi hỏi cấu hình an toàn, có chủ đích.
Các cấu hình sai phổ biến
text
✗ DEFAULT KHÔNG AN TOÀN không được đổi → mật khẩu mặc định, tài khoản mặc định, nội dung mẫu
✗ TÍNH NĂNG/dịch vụ/cổng thừa được bật → bề mặt tấn công lớn hơn
✗ LỖI CHI TIẾT trên production → stack trace lộ chi tiết nội bộ cho kẻ tấn công
✗ Thiếu SECURITY HEADER; CORS cấu hình sai (allow-all); bật directory listing
✗ Phơi bày giao diện admin/quản trị hoặc debug endpoint ra công khai
✗ Cấu hình sai cloud → storage bucket công khai, database mở, quyền truy cập quá rộng
✗ Phần mềm lỗi thời / hệ thống chưa vá; quyền file/truy cập quá rộng