Cât de bine e protejat site-ul tău?

E o verificare pasivă: ne uităm doar la ce trimite site-ul oricărui vizitator. Nu încercăm parole, nu testăm formulare și nu căutăm breșe. Nu e un test de penetrare și nu înlocuiește unul. E un control de bază, ca verificarea ITP-ului: nu îți spune că mașina e perfectă, dar îți arată ce e evident în neregulă.

HTTPS și certificatul SSL

HTTPS înseamnă că ce trimite omul pe site (formulare, parole, date de card) circulă criptat. Fără el, browserul scrie „Nesigur” lângă adresă, iar Google pune site-ul mai jos. Certificatul SSL e cel care face posibil HTTPS.

• Există și e valid? Dacă nu, browserul le arată vizitatorilor o pagină de avertizare roșie. Cei mai mulți pleacă.
• Când expiră? Certificatele gratuite expiră la câteva luni și se reînnoiesc automat, dacă totul e setat corect. Când reînnoirea se strică, afli de obicei de la un client.
• Redirecționarea: cine scrie adresa fără „https” trebuie să ajungă automat pe varianta securizată. Altfel ai practic două site-uri, iar unul e nesigur.

Resurse nesecurizate pe o pagină securizată

Se întâmplă după mutarea pe HTTPS: pagina e securizată, dar câteva poze sau scripturi se încarcă încă prin „http://”. Browserul le poate bloca, iar pagina apare stricată sau cu avertisment. Se repară schimbând adresele acelor fișiere.

Protecțiile de bază din browser

Serverul poate trimite, odată cu pagina, câteva instrucțiuni de siguranță pentru browser. Nu le vede nimeni, dar închid uși simple:

• HSTS: obligă browserul să folosească mereu HTTPS pentru site-ul tău.
• X-Frame-Options: împiedică alte site-uri să-l încadreze pe al tău ca să păcălească vizitatorii.
• X-Content-Type-Options: împiedică browserul să trateze un fișier deghizat ca pe altceva.

Se adaugă în câteva minute, din configurarea serverului sau printr-o regulă în Cloudflare.

Software vechi

O platformă sau o librărie cu probleme de securitate cunoscute public e ținta preferată a roboților care scanează internetul. Nu te aleg pe tine personal, aleg versiunea. De aceea verificăm și tehnologiile și îți spunem dacă ceva e în urmă, vulnerabil sau nemaiîntreținut. Detaliile despre asta sunt pe pagina Ce tehnologie folosește site-ul.

Serverul care își spune versiunea

Unele servere anunță public ce versiune de software rulează. Nu e o problemă în sine, dar e o informație gratuită pentru cine caută site-uri cu versiuni vechi. Se ascunde dintr-o setare.

Verificarea de 10 minute pe care o poți face și singur

• Deschide site-ul pe telefon și uită-te la lăcățelul de lângă adresă. Dacă scrie „Nesigur”, începe de aici.
• Scrie adresa cu „http://” în față și vezi dacă ajungi automat pe „https://”.
• Intră în panoul de administrare și verifică dacă sunt actualizări așteptând de luni de zile.
• Uită-te cine are parola de administrator. Foști colaboratori, foste agenții, nepotul care a făcut site-ul? Schimbă parolele și șterge conturile care nu mai trebuie.
• Întreabă-ți firma de găzduire dacă există backup automat și când a fost făcut ultimul. Un backup pe care nu l-a verificat nimeni nu e încă un backup.

Dacă site-ul a fost deja spart

Semnele obișnuite: redirecționări spre site-uri ciudate, pagini în alte limbi apărute în Google, emailuri trimise de pe server pe care nu le-ai trimis tu, un avertisment de la Google în browser. Nu șterge nimic în grabă. Fă o copie a site-ului așa cum e, schimbă toate parolele (inclusiv la găzduire și la baza de date) și cere ajutorul cuiva care se pricepe. Curățarea fără să afli pe unde a intrat atacatorul se termină de obicei cu o nouă spargere peste câteva săptămâni.

Ce faci cu rezultatul

Certificatul și HTTPS sunt urgente: se văd imediat de clienți. Restul se poate face la următoarea mentenanță. Dacă nu vrei să mai urmărești singur expirări și actualizări, le facem noi, lunar, prin mentenanță, la prețurile de pe pagina de prețuri. Iar dacă vrei tabloul complet, cu viteză și Google, încearcă verificarea completă. Site-urile pe care le facem de la zero pleacă din prima zi cu toate acestea bifate.