Pierwszy sygnał, że bezpieczeństwo strony zawiodło, często w ogóle nie jest zauważalny dla jej właściciela. Odwiedzający widzą ostrzeżenia, są przekierowywani na nieznane podstrony albo odkrywają, że ich dane wyciekły, podczas gdy strona na pozór działa normalnie. Bezpieczeństwo strony to zestaw środków chroniących witrynę przed nieautoryzowanym dostępem, kradzieżą danych, złośliwym oprogramowaniem i przestojami. Ten artykuł wyjaśnia, dlaczego ma znaczenie dla każdej strony, niezależnie od jej wielkości i celu, jak wyglądają najczęstsze zagrożenia i jakie podstawowe zabezpieczenia powinna mieć każda strona.
Zautomatyzowane ataki nie oceniają strony, zanim ją zaatakują. Nieustannie skanują internet w poszukiwaniu znanych luk do wykorzystania, bez względu na wielkość strony, branżę czy ruch. Różnica między stronami, które zostają przejęte, a tymi, które nie, rzadko dotyczy tego, jak widoczna jest strona. Prawie zawsze dotyczy zabezpieczeń, które są wdrożone.
Co może się stać z niezabezpieczoną stroną?
Awarie bezpieczeństwa strony nie zawsze są spektakularne. Często właściciel strony ich nie zauważa, a w tym czasie powodują poważne szkody dla odwiedzających, reputacji i widoczności w wyszukiwarce.
Kradzież danych
- Jeśli Twoja strona zbiera jakiekolwiek informacje o odwiedzających, w tym zgłoszenia z formularzy kontaktowych, adresy e-mail czy dane płatnicze, niezabezpieczona strona naraża te dane na ryzyko
- Naruszenie, które ujawnia dane odwiedzających, rodzi odpowiedzialność prawną, zwłaszcza w regionach, gdzie przepisy o ochronie danych wymagają bezpiecznego postępowania z danymi osobowymi
- Odwiedzający, którzy dowiedzą się, że ich dane wyciekły przez Twoją stronę, raczej nie wrócą
Wstrzyknięcie złośliwego oprogramowania
- Atakujący, którzy uzyskają dostęp do strony, mogą wstrzyknąć złośliwy kod, który działa po cichu w tle
- Ten kod może przekierowywać odwiedzających na oszukańcze podstrony, wyświetlać niechciane reklamy, kraść dane logowania lub wykorzystywać stronę do atakowania innych
- Właściciel strony często nie ma pojęcia, że to się dzieje, dopóki odwiedzający tego nie zgłosi albo skaner bezpieczeństwa tego nie oznaczy
Podmiana treści (defacement)
- Niektóre ataki zastępują treść strony własnym komunikatem, obrazami lub linkami atakującego
- Podmiana treści jest od razu widoczna i niszczy wiarygodność oraz zaufanie
- Dla każdej strony, która polega na obecności w sieci, by przyciągać lub zatrzymywać odwiedzających, odbudowa po incydencie podmiany treści może zająć dużo czasu i wysiłku
Przestoje
- Ataki zaprojektowane tak, by zalać serwer ruchem, mogą całkowicie wyłączyć stronę
- Każda godzina przestoju to utracona widoczność, utracone zapytania i utracony przychód
- Odzyskanie po poważnym ataku może zająć dni, jeśli nie ma kopii zapasowych
Jak bezpieczeństwo strony wpływa na pozycje w wyszukiwarce?
Wyszukiwarki aktywnie monitorują problemy z bezpieczeństwem i uwzględniają je w pozycjach i widoczności w wynikach.
Ostrzeżenia o złośliwym oprogramowaniu w wynikach wyszukiwania
- Gdy wyszukiwarka wykryje złośliwe oprogramowanie na stronie, dodaje etykietę ostrzegawczą do wyniku
- Odwiedzający, którzy widzą ostrzeżenie przed kliknięciem, rzadko wchodzą dalej
- Współczynnik klikalności (CTR) spada niemal do zera, gdy wyświetlane są ostrzeżenia bezpieczeństwa, bez względu na to, jak wysoko jest podstrona
Ostrzeżenia bezpieczeństwa w przeglądarce
- Przeglądarki wyświetlają ostrzeżenie na cały ekran, gdy odwiedzający próbuje wejść na stronę oznaczoną jako niebezpieczna albo na stronę bez HTTPS
- Odwiedzający muszą świadomie zdecydować o przejściu dalej mimo ostrzeżenia, a większość tego nie robi
- Strona, która wywołuje ostrzeżenia w przeglądarce, traci ruch od każdego odwiedzającego, który je zobaczy
HTTPS jako sygnał rankingowy
- HTTPS, czyli bezpieczna wersja protokołu HTTP, jest potwierdzonym sygnałem rankingowym
- Strony serwowane przez HTTP zamiast HTTPS są w gorszej pozycji rankingowej w porównaniu z równorzędnymi podstronami serwowanymi bezpiecznie
- Przeglądarki oznaczają też strony HTTP jako „Niezabezpieczone” w pasku adresu, co obniża zaufanie odwiedzających jeszcze przed jakąkolwiek interakcją
Pełne wyjaśnienie, jak działa HTTPS i co chroni, znajdziesz w artykule czym jest HTTPS i jak chroni Twoją stronę.
Jakie są najczęstsze zagrożenia dla bezpieczeństwa strony?
Ataki brute force
- Zautomatyzowane narzędzia próbują tysięcy kombinacji nazw użytkownika i haseł, by uzyskać dostęp do paneli administracyjnych stron
- Słabe hasła i nieograniczona liczba prób logowania ułatwiają przeprowadzenie ataku brute force
- Uwierzytelnianie dwuskładnikowe i limity prób logowania znacznie zmniejszają to ryzyko
SQL injection
- Atakujący wstawiają złośliwy kod w pola formularzy lub parametry adresów URL, by manipulować zapytaniami do bazy danych
- Udany SQL injection może ujawnić lub usunąć zawartość bazy danych, w tym dane klientów
- To zagrożenie jest szczególnie istotne dla stron z polami wyszukiwania, formularzami logowania lub formularzami kontaktowymi, które współpracują z bazą danych
Cross-site scripting
- Złośliwe skrypty są wstrzykiwane do podstrony, którą potem ładują w przeglądarkach inni odwiedzający
- Te skrypty mogą kraść cookies sesji, przekierowywać odwiedzających lub przechwytywać dane wpisywane w formularzach
- Cross-site scripting to jedna z najczęstszych podatności w aplikacjach internetowych
Złośliwe oprogramowanie i ransomware
- Gdy atakujący ma dostęp do strony, może zainstalować złośliwe oprogramowanie, które działa w tle, zbiera dane lub szyfruje pliki
- Ransomware odcina właścicieli od ich własnych stron i żąda zapłaty za przywrócenie dostępu
- Regularne kopie zapasowe to podstawowa obrona przed ransomware, bo przywrócenie z czystej kopii odbiera atakującemu przewagę
Nieaktualne oprogramowanie
- Znane luki w oprogramowaniu strony, wtyczkach i motywach są publikowane, gdy wychodzą poprawki
- Strony z nieaktualnymi wersjami są podatne na ataki wykorzystujące te opublikowane luki
- Aktualizowanie oprogramowania to jeden z najprostszych dostępnych środków bezpieczeństwa strony
Jakie podstawowe zabezpieczenia powinna mieć każda strona?
HTTPS i certyfikat SSL
- Każda strona powinna serwować podstrony przez HTTPS, który szyfruje dane przesyłane między przeglądarką odwiedzającego a serwerem
- Certyfikat SSL umożliwia HTTPS. Bez niego dane są przesyłane otwartym tekstem i mogą zostać przechwycone
- Przeglądarki oznaczają strony bez HTTPS jako „Niezabezpieczone”. Odwiedzający raczej nie wyślą formularzy ani nie dokonają zakupów na stronie z taką etykietą
Pełne wyjaśnienie, jak działają certyfikaty SSL i jak je uzyskać, znajdziesz w artykule czym jest certyfikat SSL i jak działa.
Silne uwierzytelnianie
- Konta administratorów powinny mieć silne, unikalne hasła i uwierzytelnianie dwuskładnikowe
- Ogranicz liczbę prób logowania, by blokować zautomatyzowane narzędzia brute force
- Usuń nieużywane konta administratorów. Każde aktywne konto ze słabymi danymi logowania to potencjalne wejście
Regularne kopie zapasowe
- Kopie zapasowe pozwalają przywrócić stronę do czystego stanu po ataku, bez płacenia okupu i bez odbudowy od zera
- Kopie zapasowe powinny być przechowywane osobno od samej strony. Kopia na tym samym serwerze przepada, jeśli serwer zostanie przejęty
- Okresowo testuj przywracanie, by potwierdzić, że kopie działają jak trzeba
Aktualizacje oprogramowania
- Instaluj aktualizacje platformy strony, wtyczek, motywów i wszelkich integracji zewnętrznych, gdy tylko są dostępne
- Aktualizacje często zawierają poprawki bezpieczeństwa, które zamykają luki odkryte od poprzedniej wersji
Zapora aplikacji internetowych
- Zapora aplikacji internetowych (WAF) stoi między ruchem przychodzącym a stroną i filtruje znane złośliwe żądania, zanim dotrą do serwera
- Zapory mogą automatycznie blokować próby SQL injection, cross-site scripting, ruch botów i inne typowe wzorce ataków
Pełny poradnik ochrony strony przed nieautoryzowanym dostępem i atakami znajdziesz w artykule jak chronić stronę przed hakerami. O tym, jak ustawić regularne kopie zapasowe, przeczytasz w artykule jak wykonać kopię zapasową strony.
Jak WEMASY dba o bezpieczeństwo strony
Kreator stron WEMASY zawiera certyfikaty SSL w każdym pakiecie, więc wszystkie strony są domyślnie serwowane przez HTTPS. Nie trzeba niczego osobno konfigurować ani kupować. Infrastruktura hostingowa obejmuje ochronę zaporą i ograniczanie ataków DDoS na poziomie sieci, co zmniejsza narażenie na typowe zautomatyzowane ataki, bez żadnej konfiguracji ze strony właściciela strony.
Oprogramowanie działające na platformie WEMASY jest utrzymywane i aktualizowane przez zespół platformy, więc właściciele stron nie odpowiadają za instalowanie poprawek bezpieczeństwa w systemie bazowym. Kopie zapasowe są wliczone i zarządzane automatycznie, a opcje przywracania są dostępne w panelu.
Zobacz, co zawiera kreator stron WEMASYalbo sprawdź opcje pakietów na stronie z cennikiem.
Najczęściej zadawane pytania
Dlaczego bezpieczeństwo strony jest ważne?
Bezpieczeństwo strony chroni jednocześnie odwiedzających, dane strony i widoczność w wyszukiwarce. Niezabezpieczona strona może posłużyć do kradzieży danych odwiedzających, rozsyłania złośliwego oprogramowania osobom, które ją odwiedzają, albo zostać całkowicie wyłączona. Wyszukiwarki oznaczają niezabezpieczone strony w wynikach, a przeglądarki ostrzegają odwiedzających przed wejściem, co drastycznie zmniejsza ruch. Incydent bezpieczeństwa może trwale podważyć zaufanie i widoczność, które strona zbudowała. W kreatorze stronWEMASY możesz to ustawić bezpośrednio na swojej stronie.
Czy wszystkie strony potrzebują zabezpieczeń?
Tak. Zautomatyzowane ataki nieustannie skanują internet w poszukiwaniu luk i nie wybierają stron według wielkości czy ruchu. Każda publicznie dostępna strona jest potencjalnym celem. Skutki naruszenia, w tym utrata danych, ostrzeżenia o złośliwym oprogramowaniu w wynikach wyszukiwania, przestoje i odpowiedzialność prawna, są takie same, bez względu na wielkość i cel strony.
Czy bezpieczeństwo strony wpływa na SEO?
Tak, bezpośrednio. HTTPS jest potwierdzonym sygnałem rankingowym, czyli strony serwowane bezpiecznie mają przewagę rankingową nad stronami HTTP. Poza tym strony oznaczone przez wyszukiwarki jako zawierające złośliwe oprogramowanie dostają etykiety ostrzegawcze w wynikach, które obniżają CTR niemal do zera. Ostrzeżenia bezpieczeństwa w przeglądarce blokują odwiedzających, zanim dotrą do podstrony. Incydent bezpieczeństwa może całkowicie usunąć stronę z wyników wyszukiwania, dopóki problem nie zostanie rozwiązany i sprawdzony.
Jaki jest najważniejszy środek bezpieczeństwa strony?
HTTPS z certyfikatem SSL to minimalna podstawa. Bez niego dane wysyłane przez formularze podróżują otwartym tekstem, a przeglądarki oznaczają stronę jako niezabezpieczoną. Poza tym silne uwierzytelnianie kont administratorów i aktualizowanie całego oprogramowania to dwa środki, które zapobiegają większości typowych ataków. Regularne kopie zapasowe to zabezpieczenie awaryjne, które ogranicza szkody, gdy inne środki zawiodą.
Skąd mam wiedzieć, że moja strona została zhakowana?
Typowe objawy to zgłoszenia odwiedzających o nieoczekiwanych przekierowaniach na inne strony, wyniki wyszukiwania pokazujące nieznane podstrony lub ostrzeżenia, zauważalnie wolniejsze ładowanie strony niż zwykle, pojawienie się treści, której nie dodał właściciel, albo utrata dostępu do panelu administracyjnego. Wiele ataków jest zaprojektowanych tak, by były niewidoczne dla właściciela strony, a dotykały odwiedzających, więc ważnymi nawykami są regularne sprawdzanie raportów skanów bezpieczeństwa i obserwowanie, czy wyniki w wyszukiwarce nie mają nietypowych spadków.
Czym różni się bezpieczeństwo strony od bezpieczeństwa hostingu?
Bezpieczeństwo hostingu to zabezpieczenia na poziomie infrastruktury, w tym serwera, sieci i centrum danych. Bezpieczeństwo strony to zabezpieczenia na poziomie samej witryny, w tym kodu aplikacji, systemów uwierzytelniania i konfiguracji. Oba mają znaczenie. Bezpieczne środowisko hostingowe nie ochroni strony ze słabymi hasłami lub nieaktualnym oprogramowaniem, a silne zabezpieczenia na poziomie strony nie zrekompensują dostawcy hostingu o słabych praktykach infrastrukturalnych.