Jak zabezpečit firemní web: 8 věcí, které zvládnete za odpoledne
Napadený web není jen problém velkých firem. Roboti zkoušejí slabá místa na všech webech nepřetržitě. Tady je osm věcí, které zvládnete za odpoledne a které vám ušetří spoustu starostí.
Spousta lidí si říká: „Proč by někdo útočil zrovna na můj malý web?“ Většinou to nikdo cíleně nedělá. Útoky běží automaticky. Roboti procházejí internet a zkoušejí známé díry, slabá hesla a neaktualizované pluginy. Kdo je zranitelný, ten to odnese. Tady je, jak mezi ně nepatřit.
1. HTTPS všude
Zámeček v prohlížeči by měl být samozřejmost. Bez HTTPS vám prohlížeč u formulářů ukáže varování a Google vás ve výsledcích posune níž. Certifikát je dnes zdarma (Let's Encrypt), takže není důvod ho nemít.
2. Aktualizace
Největší díry bývají ve starých verzích systémů a pluginů. U WordPressu a podobných systémů zapněte automatické aktualizace aspoň pro bezpečnostní opravy. A pluginy, které nepoužíváte, rovnou smažte.
3. Zálohy, které opravdu fungují
Záloha, kterou jste nikdy nezkusili obnovit, není záloha. Mějte zálohy automaticky, aspoň jednou denně, uložené jinde než samotný web. A jednou za čas vyzkoušejte, jestli jde web ze zálohy opravdu obnovit.
4. Přihlašování do administrace
- Silné a jedinečné heslo, ideálně ze správce hesel.
- Dvoufázové ověření nebo passkey. Víc v článku Konec hesel? Passkeys.
- Každý má vlastní účet. Žádný sdílený „admin / admin123“.
5. Přístup jen pro ty, kdo ho potřebují
Bývalý zaměstnanec, agentura, se kterou už nespolupracujete, testovací účet z doby spuštění… Projděte seznam uživatelů a zrušte všechno, co tam nemá co dělat.
6. Formuláře chráněné proti spamu a zneužití
Kontaktní formulář bez ochrany je pozvánka pro spam a v horším případě i pro útoky. Ochrana proti robotům, kontrola vstupů a omezení počtu odeslání jsou základ.
7. Data zákazníků jen ta nutná
Co nesbíráte, to vám nemůže uniknout. Neukládejte víc údajů, než potřebujete, a hesla zákazníků vždy jen správně zašifrovaná. Tím mimochodem plníte i GDPR.
8. Plán pro případ, že se něco pokazí
Sepište si na jednu stránku, kdo má přístup k hostingu a doméně, kde jsou zálohy a koho volat. Když web spadne nebo ho někdo napadne, nebudete to v panice zjišťovat.
Weby, které stavím v rámci tvorby webu na míru, navrhuju tak, aby měly co nejméně slabých míst: bez zbytečných pluginů, s HTTPS, zálohami a bezpečným přihlašováním. Pokud si nejste jistí, jak je na tom ten váš, napište mi a podívám se na něj.