Biztonsági alapok kisvállalkozói weboldalhoz

A weboldal biztonsága nem egyszeri beállítás, hanem néhány egyszerű szokás. Az alábbi lista a legnagyobb hatású lépésekkel kezdődik.

1. Frissítsen rendszeresen#

A régi, javítatlan szoftver a leggyakoribb belépési pont. Ha egy WordPress-bővítményben biztonsági hibát találnak, a javítás megjelenése után a támadók automatizált eszközökkel keresik azokat az oldalakat, amelyek még nem frissítettek.

• Frissítse a WordPresst, a bővítményeket és a sablont. A WordPress az 5.5-ös verzió óta a bővítményekhez és sablonokhoz is kínál automatikus frissítést; kapcsolja be, ahol teheti.
• Törölje, amit nem használ: a kikapcsolt bővítmény és sablon is tartalmazhat sebezhető kódot.
• Ne használjon „nulled” (feltört, ingyen terjesztett fizetős) bővítményt vagy sablont: ezek gyakran eleve kártékony kódot tartalmaznak.
• A PHP-verzió is számít: a régi, már nem támogatott verziók nem kapnak biztonsági javítást.

2. Erős, egyedi jelszavak#

• Minden fiókhoz más jelszót használjon. Ha egy szolgáltatásból kiszivárog egy jelszó, a támadók más oldalakon is kipróbálják.
• A hossz többet ér a bonyolultságnál: egy több szóból álló, hosszú jelmondat erősebb és könnyebben megjegyezhető, mint egy rövid, karakterekkel teletűzdelt jelszó.
• Használjon jelszókezelőt, amely erős jelszót generál és megjegyzi Ön helyett.
• Különösen erős jelszó kell ezekhez: e-mail-fiók, ügyfélportál, vezérlőpult, WordPress-adminisztrátor, adatbázis, SFTP.

3. Kapcsolja be a kétlépcsős azonosítást#

A kétlépcsős azonosítás (2FA) a jelszó mellé egy második lépést kér, általában egy hitelesítő alkalmazás által generált, rövid ideig érvényes kódot. Ha a jelszava ki is szivárog, a támadó a második lépés nélkül nem tud belépni.

Kapcsolja be mindenhol, ahol lehet: az e-mail-fiókjában, a domain- és tárhelyszolgáltatója ügyfélportálján, és a WordPressben (erre több bővítmény is van).

4. Csak annyi jogosultság, amennyi kell#

• WordPressben csak annak legyen adminisztrátori szerepköre, akinek feltétlenül szükséges; a szövegíróknak a Szerkesztő vagy Szerző szerepkör is elég.
• Ha egy munkatárs vagy külső fejlesztő befejezte a munkát, törölje a fiókját, vagy változtassa meg a közösen használt jelszavakat.
• Ne használjon közös, „admin” nevű fiókot: így nem tudni, ki mit csinált.

5. Mentés: legyen saját, és próbálja is ki#

A mentés az utolsó védvonal: ha minden más elbukik, ebből áll vissza. Érdemes a saját mentést úgy kezelni, mintha szolgáltatói mentés nem is volna.

• Gyakran idézett ökölszabály a 3-2-1: legalább 3 példány, 2 különböző tárolón, ebből 1 másik helyen (például nem ugyanazon a szerveren).
• A weboldalnál a fájlokat és az adatbázist is mentse; az egyik a másik nélkül keveset ér.
• A mentés gyakorisága igazodjon ahhoz, milyen gyakran változik az oldal: egy webshopnál gyakrabban kell, mint egy ritkán frissülő bemutatkozó oldalnál.
• Próbálja ki a visszaállítást legalább egyszer. Egy soha ki nem próbált mentésről csak a baj idején derül ki, hogy hiányos.
• Kérdezze meg a tárhelyszolgáltatóját, készít-e mentést, milyen gyakran, és hogyan kérhet visszaállítást. Ha erről nincs írásos információ, ne számítson rá.

6. HTTPS mindenhol#

Az SSL-tanúsítvány titkosítja a bejelentkezéseket és az űrlapokon küldött adatokat. Ma alapelvárás; a részletekről a lakatról szóló útmutatóban írunk.

7. Védje az űrlapokat#

A kapcsolati és regisztrációs űrlapokat automatizált programok is kitöltik, spamet vagy kártékony linkeket küldve. Használjon spamszűrő megoldást (például rejtett „csapda” mezőt vagy ellenőrző feladványt), és csak azokat az adatokat kérje be, amelyekre valóban szüksége van.

8. Ismerje fel a csaló leveleket#

Sok támadás nem a weboldalon, hanem az e-mail-fiókon keresztül érkezik. Gyakori minta a weboldal-tulajdonosoknál:

• „Lejár a domainje, fizessen most” típusú levelek egy ismeretlen cégtől, amely nem az Ön regisztrátora;
• „A tárhelyét felfüggesztjük” üzenetek, amelyek egy hamis bejelentkezési oldalra visznek;
• „SEO-ajánlat” vagy „szerzői jogi panasz” mellékletekkel.

Mindig a feladó valódi címét és a link célját nézze meg, és a számláit, értesítéseit a szolgáltatója ügyfélportálján ellenőrizze, ne a levélben kapott linken keresztül.

9. Ha mégis baj van#

1. Ne essen pánikba, de ne is várjon. Ha furcsa átirányítást, ismeretlen felhasználót vagy idegen tartalmat lát, cselekedjen azonnal.
2. Változtasson meg minden jelszót: vezérlőpult, WordPress, adatbázis, SFTP, e-mail.
3. Értesítse a tárhelyszolgáltatóját, és kérdezze meg, látnak-e valamit a naplókban.
4. Állítsa vissza az oldalt egy biztosan tiszta mentésből, majd azonnal frissítsen mindent.
5. Gondolja át az adatvédelmi teendőket: ha személyes adatok is érintettek lehetnek, a GDPR szerint bejelentési kötelezettsége lehet (lásd: GDPR röviden).

Gyakori kérdések#

Kis oldal vagyok, kit érdekelne az én weboldalam?#

A támadások többsége automatizált: programok pásztázzák az internetet ismert hibák és gyenge jelszavak után, méretre és témára való tekintet nélkül. Egy feltört kis oldalt spam küldésére, kártékony programok terjesztésére vagy adathalász oldalak tárolására is felhasználhatnak.

Elég egy biztonsági bővítmény?#

Egy jó biztonsági bővítmény hasznos lehet (például a bejelentkezési próbálkozások korlátozására), de nem pótolja a frissítést, az erős jelszavakat és a mentést. Ha a szoftver naprakész és a jelszavak erősek, a kockázat nagy része már megszűnt.

Honnan tudom, hogy feltörték az oldalamat?#

Gyakori jelek: a látogatók furcsa átirányításról vagy reklámokról számolnak be, a keresőben idegen nyelvű vagy gyanús találatok jelennek meg az oldala neve alatt, ismeretlen adminisztrátor jelenik meg, vagy a böngésző figyelmeztet, hogy az oldal veszélyes. Ilyenkor kövesse a fenti lépéseket.