Bezpečnosť webu pre firmy: HTTPS, zálohy, aktualizácie

Bezpečnosť webu pre firmy sa opiera o tri základné praktiky: HTTPS s platným certifikátom, pravidelné overené zálohy a včasné aktualizácie systému a pluginov. K nim pribúdajú jedinečné heslá s dvojfaktorovým prihlásením, minimum potrebných prístupov a monitoring. Tieto kroky pokrývajú značnú časť typických rizík a umožňujú rýchlo obnoviť prevádzku.

Stručne

• HTTPS šifruje výmenu údajov medzi prehliadačom a webom; certifikát sa obnovuje automaticky, jeho platnosť sa sleduje.
• Zálohy sa ukladajú mimo servera webu, majú niekoľko bodov obnovy a pravidelne sa overujú obnovením.
• Aktualizácie systému, tém, pluginov a knižníc zatvárajú známe zraniteľnosti; nepotrebné pluginy sa odstraňujú.
• Heslá sú jedinečné a ukladajú sa v správcovi hesiel; prihlásenie do administrácie je chránené dvojfaktorovou autentifikáciou.
• Každý zamestnanec má iba potrebné práva; prístup bývalých zamestnancov sa zatvára okamžite.
• Vopred zapísaný plán postupu pre prípad napadnutia skracuje výpadok.

Aké riziká existujú pre menší web

Značná časť útokov na menšie weby je automatizovaná: boty hľadajú zastarané pluginy, slabé heslá a otvorené administrácie a veľkosť firmy pre ne nehrá rolu. Typické scenáre:

• škodlivý kód a skryté presmerovania návštevníkov na cudzie weby;
• spamové stránky, ktoré sa objavujú na webe a kazia reputáciu vo vyhľadávaní;
• únik dopytov a údajov zákazníkov;
• strata kontroly nad doménou alebo záznamami DNS;
• výpadok kvôli poruche hostingu alebo preťaženiu.

Dôsledky môžu byť citeľné: stratené objednávky, upozornenia prehliadača a vyhľadávača, blokovanie reklamných kont, reputačné straty.

HTTPS: čo skontrolovať

HTTPS šifruje údaje medzi prehliadačom a serverom a chráni heslá, dopyty a platobné údaje pred zachytením a podvrhnutím. Prehliadače označujú stránky bez HTTPS ako nedôveryhodné a to odrádza návštevníkov od formulárov a platby. Pre vyhľadávače je HTTPS známym, hoci malým signálom kvality. Certifikát zvyčajne vydáva hosting alebo platforma; mnohí poskytovatelia ponúkajú bezplatné certifikáty (napríklad Let's Encrypt) s automatickým obnovovaním.

Kontrola HTTPS trvá desať minút:

1. Otvorte adresu s http:// a presvedčte sa, že prehliadač prejde na https:// jedným presmerovaním 301.
2. Kliknite na ikonu zámku vedľa adresy a pozrite sa, kto certifikát vydal a kedy jeho platnosť končí.
3. Otvorte stránky s formulármi a katalógom a presvedčte sa, že prehliadač nezobrazuje upozornenia na zmiešaný obsah (obrázky alebo skripty načítané cez http://).
4. Skontrolujte, že canonical, mapa webu a interné odkazy vedú na https:// a na jednu hlavnú verziu domény (s www alebo bez).
5. Nastavte pripomienku alebo monitoring doby platnosti certifikátu.

Keď všetko funguje správne, možno zapnúť HSTS – hlavičku, ktorá núti prehliadač vždy používať HTTPS. Zapínajte ju po kontrole všetkých subdomén.

Zálohy: čo, kam a ako často

Zálohujú sa súbory webu, databáza, nahrané obrázky a dokumenty a konfiguračné súbory. Frekvencia závisí od toho, ako rýchlo sa údaje menia. Tabuľka dáva orientačné body.

• Dodržiavajte pravidlo 3-2-1: tri kópie údajov, na dvoch rôznych nosičoch, jedna z nich mimo hlavného servera.
• Uchovávajte niekoľko verzií z rôznych dátumov, aby ste sa mohli vrátiť k čistému stavu, ak sa problém zistí oneskorene.
• Zálohy s osobnými údajmi šifrujte a obmedzte k nim prístup.
• Raz za štvrťrok obnovte zálohu na testovacom prostredí a presvedčte sa, že sa web spustí.
• Zálohy hostingu sú užitočné ako doplnková vrstva; overte si dobu uchovávania a postup obnovy.
• Na platformách-konštruktoroch zistite, aké exporty sú dostupné (katalóg, objednávky, zákazníci), a robte ich pravidelne.

Aktualizácie: systém, pluginy, témy

Aktualizácie zatvárajú známe zraniteľnosti, ktoré automatizované skripty hľadajú po celom internete. Aktualizuje sa jadro CMS, témy, pluginy, knižnice, verzia PHP a ďalšie serverové komponenty.

1. Urobte čerstvú zálohu.
2. Overte aktualizácie na testovacej kópii, ak je web veľký alebo kritický pre predaj.
3. Aktualizujte najprv jadro, potom pluginy a témy.
4. Prejdite kľúčové scenáre: hlavná stránka, formulár, košík, platba.
5. Zapíšte dátum a verzie do denníka zmien.

• Odstráňte nepoužívané pluginy a témy: aj vypnutý plugin môže zostať zdrojom rizika.
• Inštalujte rozšírenia z overených zdrojov; napadnuté kópie platených pluginov často obsahujú škodlivý kód.
• Zapínajte automatické bezpečnostné aktualizácie tam, kde sú podporované, a po nich web kontrolujte.
• Na konštruktoroch a SaaS platformách serverovú časť zvyčajne aktualizuje poskytovateľ, pripojené aplikácie, skripty a integrácie však zostávajú v zodpovednosti majiteľa webu.

Heslá, prístupy a údaje zákazníkov

Používateľské účty

• Jedinečné heslo pre každú službu a správca hesiel na ukladanie.
• Dvojfaktorová autentifikácia pre administráciu, hosting, registrátora domény, e-mail, Google Analytics, Search Console a reklamné kontá.
• Samostatný účet pre každého zamestnanca s minimálne potrebnými právami; spoločným prihlasovacím údajom sa vyhnite.
• Okamžite zatvorte prístup bývalým zamestnancom a dodávateľom.
• Pre doménu zapnite automatické obnovovanie a ochranu pred neoprávneným prenosom.

Formuláre, platba a osobné údaje

• Ochrana formulárov pred spamom: skryté pole, obmedzenie frekvencie, kontrola na serveri.
• Platobné údaje spracúva platobný poskytovateľ; čísla kariet sa na webe neukladajú.
• Zbierajte minimum osobných údajov a uchovávajte ich iba dovtedy, kým je to potrebné.
• Pre e-mail domény nastavte záznamy SPF, DKIM a DMARC, aby e-maily dochádzali a doménu bolo ťažšie sfalšovať.
• Požiadavky na spracovanie osobných údajov (napríklad GDPR v EÚ) závisia od krajiny a menia sa; aktuálne pravidlá si overte u právnika.

Monitoring

Monitoring pomáha všimnúť si problém ako prvý: služba kontroly dostupnosti webu, pripomienka doby platnosti certifikátu, upozornenia Search Console na problémy s bezpečnosťou a pravidelné prezeranie denníka zmien.

Ochrana administrácie

• Obmedzenie počtu pokusov o prihlásenie a upozornenie na prihlásenie z nového zariadenia.
• Samostatné používateľské meno namiesto štandardného admin.
• Ukončenie neaktívnych relácií a zákaz prihlásenia zo zbytočných adries tam, kde je to možné.
• Obmedzenie typov a veľkostí súborov, ktoré sa nahrávajú cez formuláre a administráciu.

Kontakty pre prípad incidentu

Uložte na jedno miesto mimo webu kontakty poskytovateľa hostingu, registrátora domény, platobného poskytovateľa a vývojára. Určite, kto prijíma rozhodnutie o dočasnom vypnutí webu a kto informuje zákazníkov, ak došlo k úniku údajov. Takáto poznámka zaberie jednu stranu a pri skutočnom incidente ušetrí hodiny.

Plán postupu pre prípad napadnutia

Vopred zapísaný postup ušetrí hodiny. Orientačné poradie:

1. Zaznamenajte príznaky: snímky obrazovky, dátumy, podozrivé stránky.
2. Dočasne vypnite web alebo zapnite režim údržby, ak návštevníkom hrozí škodlivý kód.
3. Zmeňte heslá k hostingu, CMS, databáze, FTP alebo SSH, e-mailu a ďalším súvisiacim službám.
4. Nájdite príčinu: zastaraný plugin, uniknuté heslo, napadnutý účet.
5. Obnovte web z čistej zálohy alebo vyčistite súbory a databázu.
6. Aktualizujte systém a odstráňte nepotrebné komponenty.
7. Skontrolujte sekciu problémov s bezpečnosťou v Google Search Console; ak je tam upozornenie, podajte žiadosť o opätovnú kontrolu.
8. Zapíšte závery: čo sa stalo, ako sa to opravilo, čo sa zmenilo v procese.

Typické chyby

• Zálohy iba na tom istom serveri. Porucha alebo napadnutie zničí web spolu so zálohami.
• Zálohy bez overenia obnovy. Problém sa ukáže vtedy, keď je záloha potrebná.
• Odkladané aktualizácie. Zastaraná verzia pluginu sa stáva ľahkým terčom.
• Jedno heslo pre všetky služby. Únik z jedného webu otvorí ostatné účty.
• Práva administrátora pre všetkých. Redaktorovi stačí rola redaktora.
• Pirátske témy a pluginy. Často obsahujú skryté zadné vrátka.
• Certifikát bez pripomienky. Expirovaný certifikát odstraší návštevníkov upozornením prehliadača.
• Chýbajúci plán. Pri incidente tím míňa čas hľadaním zodpovedných osôb.

Otázky a odpovede

Je HTTPS potrebné pre web bez formulárov a platby?

Áno. HTTPS chráni integritu stránok a prehliadače označujú HTTP ako nedôveryhodné. Okrem toho časť moderných možností prehliadača vyžaduje zabezpečené spojenie.

Ako často robiť zálohy?

Frekvencia závisí od toho, ako často sa údaje menia a koľko strát ste ochotní akceptovať. Web vizitku stačí zálohovať raz týždenne a pred zmenami, obchod s objednávkami – denne alebo častejšie.

Sú weby na konštruktoroch a SaaS platformách bezpečné?

Serverovú časť a platformu udržiava poskytovateľ a to odstraňuje značnú časť úloh. Ochrana účtov, hesiel, rolí zamestnancov a pripojených skriptov zostáva vecou majiteľa.

Je potrebné aktualizovať web, ktorý sa nemení?

Áno. Zraniteľnosti sa nachádzajú v softvéri bez ohľadu na to, či sa obsah mení, alebo nie. Staré verzie systému a pluginov sa stávajú hlavným terčom automatizovaných útokov.

Čo robiť, ak Google zobrazuje upozornenie na nebezpečný web?

Skontrolujte sekciu problémov s bezpečnosťou v Google Search Console, nájdite a odstráňte škodlivý kód alebo stránky, zmeňte heslá, aktualizujte systém a podajte žiadosť o opätovnú kontrolu. Ak sa vám to nedarí samostatne, prizvite odborníka.

Záver

Bezpečnosť webu sa skladá z jednoduchých pravidelných činností: HTTPS a kontrola doby platnosti certifikátu, overené zálohy mimo servera, včasné aktualizácie, spoľahlivé prístupy a vopred zapísaný plán pre prípad napadnutia. Aj základný súbor opatrení znižuje pravdepodobnosť vážneho incidentu a skracuje čas obnovy, ak problém napriek tomu vznikol. Určite zodpovednú osobu pre každú činnosť a zapíšte dátumy kontrol do kalendára, vtedy ochrana funguje v každodennej práci bez zbytočnej námahy. Začnite najjednoduchším: skontrolujte HTTPS, urobte čerstvú zálohu a aktualizujte pluginy. Ak potrebujete pomoc, LightSEO vám môže pomôcť s budovaním bezpečného firemného webu alebo internetového obchodu a s nastavením základnej ochrany.

Prečítajte si aj

• Ako zrýchliť web: obrázky, písma, skripty
• Viacjazyčný web: UX a SEO – štruktúra URL, hreflang, prepínač jazykov
• Stránka 404: ako ju urobiť užitočnou – dizajn, text a kód odpovede