Strona, która wygląda czysto i profesjonalnie, nadal może być zupełnie niebezpieczna. Sprawdzenie, czy strona jest bezpieczna, zanim wpiszesz jakiekolwiek dane, nie jest skomplikowane, ale trzeba wiedzieć, gdzie patrzeć, bo oczywiste oznaki nie zawsze są tymi, które mają znaczenie.
Sygnały, które mówią, czy strona jest bezpieczna, widać w przeglądarce i na samej stronie. Ten artykuł opisuje, co sprawdzić, co oznacza każdy sygnał i co zrobić, gdy coś wygląda nie tak.
Te same kontrole dotyczą Ciebie, zarówno gdy jako odwiedzający zastanawiasz się, czy zaufać stronie, jak i gdy jako właściciel strony chcesz zrozumieć, co widzą odwiedzający, gdy na nią trafią. Bezpieczne i niebezpieczne strony zostawiają takie same ślady. Wiedza, na co patrzeć, odbiera zgadywanie. Dlaczego bezpieczeństwo strony ma znaczenie dla każdej strony, nie tylko dużych, wyjaśnia artykuł o tym, dlaczego bezpieczeństwo strony jest ważne.
Jak sprawdzić, czy strona jest bezpieczna
Najpierw spójrz na pasek adresu
Pasek adresu w przeglądarce to najszybsze miejsce na początek. Dwie rzeczy mówią sporo, zanim przeczytasz choć jedno słowo na stronie.
- Adres powinien zaczynać się od HTTPS, a nie HTTP. Litera S oznacza „secure”, czyli bezpieczny. To znaczy, że połączenie między Twoją przeglądarką a stroną jest szyfrowane, więc wszystko, co wysyłasz, jest mieszane, zanim wyruszy w drogę. Strona pod adresem zaczynającym się od zwykłego HTTP nie ma certyfikatu bezpieczeństwa, a wszystko, co wyślesz przez formularz, wychodzi niezabezpieczone
- Ikona kłódki pojawia się obok adresu na stronach z zainstalowanym ważnym certyfikatem bezpieczeństwa. Brak kłódki oznacza brak certyfikatu, czyli brak szyfrowanego połączenia. Kliknięcie kłódki pokazuje szczegóły certyfikatu, w tym kto go wystawił i kiedy wygasa
HTTPS i kłódka to podstawa. Strona bez nich od razu nie przechodzi pierwszej kontroli. Pełne wyjaśnienie, czym jest certyfikat bezpieczeństwa i co robi, znajdziesz w artykule o tym, czym jest certyfikat bezpieczeństwa strony i dlaczego Twoja strona go potrzebuje.
Przeczytaj uważnie adres URL
Kłódka HTTPS mówi tylko, że połączenie jest szyfrowane. Nie mówi, że strona jest godna zaufania. Oszukańcza strona może mieć ważny certyfikat bezpieczeństwa równie łatwo jak prawdziwa. Dlatego liczy się przeczytanie faktycznej nazwy domeny.
- Spójrz na pełną nazwę domeny w pasku adresu, a nie tylko na tytuł strony. Strona zaprojektowana tak, żeby wyglądała jak bank lub znana usługa, często używa domeny, która na pierwszy rzut oka wygląda podobnie, ale jest nieco inna. Dodatkowe znaki, myślniki lub nietypowe końcówki warto zauważyć
- Sprawdź, czy domena pasuje do strony, którą zamierzasz odwiedzić. Jeśli kliknięto link w e-mailu lub na innej stronie, potwierdź, że adres w pasku zgadza się z miejscem, do którego chciano trafić
- Długie, nieznane ciągi znaków w adresie albo domeny, których nie rozpoznajesz od samego początku adresu URL, warto traktować z ostrożnością
Sprawdź, co mówi przeglądarka
Przeglądarki oznaczają niebezpieczne strony wprost. Te ostrzeżenia warto traktować poważnie.
- Etykieta „Niezabezpieczona” w pasku adresu pojawia się na stronach serwowanych bez HTTPS. Niektóre przeglądarki pokazują ją na wszystkich stronach HTTP. Inne tylko na stronach z formularzami lub polami logowania, gdzie wpisywanie informacji to najwyraźniejsze ryzyko
- Ostrzeżenie na całej stronie, często czerwone lub pomarańczowe, z tekstem w rodzaju „Twoje połączenie nie jest prywatne” lub „Ta strona może być niebezpieczna”, pojawia się, gdy przeglądarka wykryje poważniejszy problem. Może to znaczyć, że certyfikat bezpieczeństwa wygasł, certyfikat nie pasuje do domeny albo strona została oznaczona z powodu szkodliwych treści. Te ostrzeżenia istnieją po to, żeby Cię zatrzymać, i warto ich słuchać
- Jeśli pojawi się ostrzeżenie na całej stronie, nie przechodź dalej, chyba że masz konkretny powód, żeby zaufać stronie, i rozumiesz, co ostrzeżenie znaczy
Przyjrzyj się samej stronie
Gdy jesteś już na stronie, kilka rzeczy mówi więcej o tym, czy strona jest tym, czym się wydaje.
- Działająca strona kontaktowa z prawdziwym adresem, numerem telefonu lub e-mailem to pozytywny sygnał. Strony stworzone wyłącznie do zbierania informacji często je pomijają albo używają ogólnych tekstów zastępczych
- Strony z polityką prywatności i regulaminem, które naprawdę mają treść, a nie tylko nagłówek z niczym pod spodem, sugerują stronę zbudowaną do prawidłowego działania
- Błędy ortograficzne, zepsute obrazy lub problemy z układem, które wyglądają na niedokończone, mogą być oznaką pospiesznie zbudowanej strony. To nie gwarancja, że coś jest nie tak, ale w połączeniu z innymi sygnałami się sumują
- Prośby o informacje, które wydają się nie na miejscu, na przykład strona prosząca o numer PESEL lub dane bankowe bez oczywistego powodu, należy traktować jako sygnał alarmowy, bez względu na to, jak wygląda reszta strony
Jak korzystać z narzędzia do sprawdzania bezpieczeństwa strony
Narzędzie do sprawdzania bezpieczeństwa strony sprawdza adres URL na znanych listach szkodliwych lub zgłoszonych stron i zwraca ocenę bezpieczeństwa. Takie narzędzia są przydatne jako szybka druga opinia, zwłaszcza na stronach, których wcześniej nie znasz.
Na co patrzą narzędzia do sprawdzania bezpieczeństwa
- Znane listy szkodliwych stron prowadzone przez producentów przeglądarek i organizacje zajmujące się bezpieczeństwem. Strony potwierdzone jako phishingowe, rozsiewające malware lub oszukańcze trafiają na te listy i są od razu oznaczane
- Wiek i reputacja domeny. Nowo zarejestrowane domeny, które już zgłoszono z powodu problemów, albo domeny wykazujące wzorce związane ze szkodliwą działalnością, mogą być oznaczone, nawet jeśli nie dodano ich jeszcze do konkretnej listy
- Czy strona ma ważny certyfikat bezpieczeństwa i czy HTTPS jest poprawnie skonfigurowany
- Czy wcześniejsi odwiedzający zgłaszali tę stronę
Czego narzędzia do sprawdzania bezpieczeństwa nie powiedzą
Czysty wynik z narzędzia do sprawdzania bezpieczeństwa strony nie gwarantuje, że strona jest godna zaufania. Oznacza, że strona nie została zgłoszona ani oznaczona na listach, które narzędzie sprawdza.
- Zupełnie nowa oszukańcza strona przejdzie sprawdzenie, jeśli nie została jeszcze zgłoszona. Szkodliwe strony często wyprzedzają listy o dni lub tygodnie, zanim zostaną dodane
- Narzędzia nie oceniają jakości ani uczciwości treści strony. Strona może przejść każdą automatyczną kontrolę i nadal być zaprojektowana tak, żeby wprowadzać odwiedzających w błąd
- Używaj narzędzia do sprawdzania bezpieczeństwa jako jednego z elementów obok innych kontroli, a nie jedynego
Co sprawia, że z danej strony naprawdę bezpiecznie się korzysta
HTTPS to punkt wyjścia, a nie meta
Strona z HTTPS i ważną kłódką spełniła podstawowe wymagania techniczne bezpiecznego połączenia. Warto to potwierdzić, ale to początek kontroli, a nie jej koniec.
HTTPS chroni dane przesyłane między przeglądarką a serwerem. Nie mówi nic o tym, co strona robi z tymi danymi po ich otrzymaniu. Strona może mieć ważny certyfikat i nadal zbierać informacje w celach, na które odwiedzający by się nie zgodził, gdyby o nich wiedział. Pełny opis tego, jak działa HTTPS i co naprawdę chroni, znajdziesz w artykule o tym, czym jest HTTPS i jak chroni Twoją stronę.
Sygnały zaufania na stronie
Poza kontrolami technicznymi strony zbudowane do prawidłowego działania zwykle pokazują to w tym, jak obsługują podstawowe sprawy.
- Jasne informacje o tym, kto prowadzi stronę i jak się z nim skontaktować
- Polityki wyjaśniające, jakie dane są zbierane i jak są wykorzystywane
- Proces zamówienia, jeśli jest, który używa uznanej metody płatności i pokazuje, za co płacisz, zanim potwierdzisz transakcję
- Brak technik wywierania presji: liczniki odliczające czas, twierdzenia, że Twoje konto zostanie zablokowane, jeśli nie zadziałasz teraz, albo ostrzeżenia, że Twoje urządzenie zostało zainfekowane, to częste narzędzia popychające odwiedzających do decyzji bez namysłu
Co certyfikaty SSL potwierdzają, a czego nie
Podstawowy certyfikat SSL, ten, który daje stronie kłódkę i HTTPS, potwierdza jedno: że ten, kto go zainstalował, zarządza domeną. Nie weryfikuje, że firma stojąca za stroną jest wiarygodna, że strona została niezależnie sprawdzona ani że osoby ją prowadzące są tymi, za które się podają.
Certyfikaty wyższego poziomu idą dalej. Certyfikat z walidacją organizacji lub rozszerzoną wymaga, żeby urząd certyfikacji zweryfikował prawną tożsamość firmy. Strony używające takich certyfikatów zostały sprawdzone poza samą własnością domeny. Dla większości zwykłych stron ten poziom weryfikacji nie jest wymagany, ale na platformach finansowych lub rządowych warto znać różnicę. Pełny opis rodzajów certyfikatów i tego, co każdy z nich potwierdza, znajdziesz w artykule o tym, czym jest certyfikat SSL i jak działa.
Co zrobić, gdy strona nie wygląda na bezpieczną
- Nie wpisuj żadnych danych osobowych, danych logowania ani danych płatności na stronie, co do której nie masz pewności. Wysłanych informacji nie da się cofnąć
- Zamknij kartę i wejdź prosto na stronę, do której chcesz trafić, wpisując adres samodzielnie, zamiast klikać link, który mógł zaprowadzić Cię w nieoczekiwane miejsce
- Jeśli już podano dane na stronie, która okazała się niebezpieczna, natychmiast zmień hasło powiązane z tym adresem e-mail. Jeśli w grę wchodziły dane płatności, skontaktuj się z bankiem
- Zgłoś stronę, jeśli przeglądarka lub narzędzie bezpieczeństwa daje taką możliwość. Pomaga to szybciej dodać ją do list ostrzegawczych, co chroni innych odwiedzających
- Jeśli prowadzisz własną stronę i chcesz zrozumieć, co widzą odwiedzający, sprawdzając jej bezpieczeństwo, sprawdź, czy HTTPS jest aktywny, czy certyfikat jest ważny i niewygasły oraz czy cokolwiek na stronie mogłoby wyglądać jak sygnał alarmowy dla kogoś, kto nie zna jeszcze strony
Jak WEMASY obsługuje sygnały bezpieczeństwa strony
Każda strona zbudowana w WEMASY domyślnie działa na HTTPS. Certyfikaty SSL są częścią wszystkich planów i stosowane automatycznie po podłączeniu strony lub własnej domeny. Nie trzeba nic konfigurować ani odnawiać. Odwiedzający sprawdzający pasek adresu zobaczą HTTPS i kłódkę od pierwszego dnia.
Przekierowania z HTTP na HTTPS działają na poziomie platformy, więc odwiedzający zawsze trafiają do bezpiecznej wersji strony, bez względu na to, jak do niej dotrą. Ostrzeżenia o treści mieszanej, które pojawiają się, gdy strona ładuje się przez HTTPS, ale niektóre elementy nie, nie są problemem, bo wszystkie zasoby serwowane przez platformę używają HTTPS.
Zobacz, co jest w zestawie, na stronie kreatora stron WEMASY albo sprawdź plany na stronie z cennikiem.
Najczęściej zadawane pytania
Skąd mam wiedzieć, czy strona jest bezpieczna?
Zacznij od paska adresu w przeglądarce. Adres powinien zaczynać się od HTTPS i powinna być widoczna ikona kłódki. Brak kłódki oznacza brak certyfikatu bezpieczeństwa i brak szyfrowanego połączenia. Uważnie przeczytaj faktyczną nazwę domeny, żeby potwierdzić, że zgadza się z miejscem, do którego zamierzasz trafić. Jeśli przeglądarka pokazuje ostrzeżenie, potraktuj je poważnie. Na samej stronie szukaj działających danych kontaktowych, prawdziwej polityki prywatności i braku próśb o informacje, które wydają się nie na miejscu jak na ten rodzaj strony. W kreatorze stron WEMASY możesz to ustawić bezpośrednio na swojej stronie.
Czy HTTPS oznacza, że strona jest bezpieczna?
HTTPS oznacza, że połączenie między Twoją przeglądarką a stroną jest szyfrowane, więc wysyłane informacje są mieszane, zanim wyruszą w drogę. Nie oznacza, że strona jest godna zaufania ani że osoby ją prowadzące są tymi, za które się podają. Oszukańcza strona może mieć ważny certyfikat HTTPS tak samo jak prawdziwa. HTTPS to konieczny punkt wyjścia, a nie sama w sobie gwarancja bezpieczeństwa. Sprawdź nazwę domeny, spójrz na treść strony i użyj narzędzia do sprawdzania bezpieczeństwa, jeśli nie masz pewności.
Czym jest narzędzie do sprawdzania bezpieczeństwa strony?
Narzędzie do sprawdzania bezpieczeństwa strony sprawdza adres URL w bazach znanych szkodliwych lub zgłoszonych stron. Zwraca wynik pokazujący, czy strona została oznaczona z powodu phishingu, malware, oszustw lub innych problemów. Czysty wynik oznacza, że strona nie została zgłoszona na listach, które narzędzie sprawdza, ale nie gwarantuje, że jest bezpieczna. Nowe szkodliwe strony powstają regularnie, a pojawienie się na listach ostrzegawczych zajmuje czas. Używaj narzędzia obok innych kontroli, a nie zamiast nich.
Co oznacza kłódka w przeglądarce?
Kłódka oznacza, że strona ma zainstalowany ważny certyfikat bezpieczeństwa, a połączenie między Twoją przeglądarką a stroną jest szyfrowane. Wszystkie informacje wysyłane przez formularz są mieszane, zanim wyruszą w drogę, więc nie można ich odczytać po przechwyceniu. Kliknięcie kłódki pokazuje szczegóły certyfikatu, w tym kto go wystawił i kiedy wygasa. Brak kłódki oznacza brak certyfikatu i brak szyfrowania. Wygasły certyfikat powoduje zniknięcie kłódki i może wywołać ostrzeżenie przeglądarki.
Co zrobić, jeśli przypadkowo podano dane na niebezpiecznej stronie?
Przede wszystkim od razu zmień hasło powiązane z tym kontem lub adresem e-mail. Jeśli wpisano dane płatności, skontaktuj się z bankiem i opisz, co się stało: może zablokować kartę i doradzić dalsze kroki. Sprawdź, czy używasz tego samego hasła na innych kontach, i jeśli tak, zmień je także tam. Zgłoś stronę, jeśli przeglądarka lub narzędzie bezpieczeństwa daje taką możliwość. Przez kolejne tygodnie obserwuj konta powiązane z podanymi informacjami pod kątem nietypowej aktywności.
Czy strona z HTTPS nadal może być oszustwem?
Tak. Podstawowy certyfikat bezpieczeństwa jest darmowy i zdobywa się go w kilka minut. HTTPS może dodać do strony każdy, także osoby prowadzące oszustwa. Kłódka oznacza, że połączenie jest szyfrowane. Nie oznacza, że strona została zweryfikowana jako wiarygodna, że stojąca za nią firma jest prawdziwa ani że Twoje informacje będą traktowane odpowiedzialnie. HTTPS usuwa jedno konkretne ryzyko, ale nie wszystkie. Zawsze sprawdzaj nazwę domeny, czytaj stronę uważnie i użyj narzędzia do sprawdzania bezpieczeństwa, jeśli coś budzi wątpliwości.