Właściciele małych firm często mówią: „Kto by się włamywał na moją stronę? Nic tam nie ma”. To błąd w myśleniu. Wiele ataków przeprowadzają programy, które przeszukują internet w poszukiwaniu stron ze znanymi lukami. Nie interesuje ich, czyja to strona – tylko to, czy da się ją wykorzystać do rozsyłania spamu, podszywania się albo ukrywania złośliwego kodu.
Czym grozi zaniedbana strona
- na stronie pojawiają się obce linki albo reklamy, które widzą Twoi klienci,
- wyszukiwarka oznacza stronę jako niebezpieczną i ostrzega przed wejściem,
- z Twojego serwera wysyłany jest spam, a poczta firmowa trafia na czarne listy,
- formularz zbiera dane klientów, które wyciekają,
- strona przestaje działać i nie ma jej z czego odtworzyć.
Każda z tych sytuacji kosztuje więcej niż regularna profilaktyka.
Lista kontrolna na kwadrans w miesiącu
Kopia zapasowa
Sprawdź, czy kopia strony i bazy danych robi się automatycznie, gdzie jest przechowywana i z jakiego dnia jest ostatnia. Najważniejsze pytanie: czy ktoś kiedykolwiek próbował ją odtworzyć? Kopia, której nie da się przywrócić, nie jest kopią.
Kopia powinna leżeć w innym miejscu niż sama strona. Jeśli serwer padnie albo zostanie zainfekowany, kopia na tym samym serwerze może zniknąć razem z nim.
Aktualizacje
System strony, motyw i wszystkie dodatki powinny być aktualne. Największe ryzyko to dodatki, których nikt nie używa, ale wciąż są zainstalowane. Usuń je – każdy z nich to potencjalna luka.
Jeśli Twoja strona jest zbudowana na popularnym systemie z wieloma wtyczkami, aktualizacje są szczególnie ważne. Znane luki w takich stronach często dotyczą właśnie dodatków od różnych autorów, a nie samego systemu.
Certyfikat i adres z kłódką
Wejdź na stronę i sprawdź, czy przeglądarka pokazuje bezpieczne połączenie. Certyfikat musi się sam odnawiać. Jeśli wygaśnie, przeglądarki zaczną straszyć klientów ostrzeżeniem na cały ekran.
Konta administratorów
Przejrzyj listę osób, które mogą logować się do panelu. Usuń konta byłych pracowników i wykonawców. Każda osoba powinna mieć własne konto z silnym hasłem, a najlepiej z logowaniem dwuetapowym.
Formularze
Wyślij testowe zgłoszenie przez formularz kontaktowy i sprawdź, czy dotarło. Zwróć uwagę na spam: jeśli codziennie dostajesz dziesiątki śmieciowych wiadomości, formularz potrzebuje lepszej ochrony. Dobre zabezpieczenia działają w tle i nie męczą klienta przepisywaniem znaków z obrazka.
Domena i poczta
Sprawdź datę wygaśnięcia domeny i to, czy przypomnienia trafiają na aktywny adres. Przy okazji zobacz, czy poczta firmowa ma poprawnie ustawione zabezpieczenia przed podszywaniem się – to ustawienia domeny, o które warto zapytać wykonawcę.
Hasła i logowanie – najsłabsze ogniwo
Najlepiej zabezpieczony serwer nie pomoże, jeśli hasło do panelu brzmi jak nazwa firmy z rokiem założenia. Automaty próbują takich haseł w pierwszej kolejności. Kilka prostych zasad:
- każde konto ma inne, długie hasło wygenerowane przez menedżer haseł,
- hasła nie krążą w mailach ani w komunikatorach,
- logowanie dwuetapowe jest włączone w panelu strony, domenie i poczcie,
- po odejściu pracownika zmieniasz hasła do kont, z których korzystał.
To bezpłatne kroki, a zamykają najprostsze drogi włamania.
Sygnały, że coś jest nie tak
- strona nagle zwolniła bez żadnych zmian z Twojej strony,
- w wynikach wyszukiwania pod Twoją nazwą pojawiają się dziwne tytuły w obcym języku,
- klienci zgłaszają, że przeglądarka ostrzega przed wejściem,
- na skrzynkę przychodzą zwroty maili, których nie wysyłałeś,
- w panelu są konta, których nie zakładałeś.
W takiej sytuacji nie usuwaj niczego na własną rękę. Zrób kopię obecnego stanu i skontaktuj się z kimś, kto zbada przyczynę. Szybki audyt strony pokaże, co widać z zewnątrz, w tym podstawowe problemy z bezpieczeństwem.