Безпека сайту: чекліст для малого й середнього бізнесу
Малий бізнес часто вважає себе надто неважливим для атак. Але більшість атак на сайти автоматизовані й просто шукають застаріле ПЗ і слабкі паролі, незалежно від власника сайту. Зламаний сайт поширює шкідливе ПЗ, розсилає спам чи втрачає дані клієнтів. Чекліст показує заходи, що найбільше знижують ризик.
Десять найважливіших заходів
Ці пункти закривають найчастіші шляхи атак:
- 1. Оновлювати CMS, плагіни, теми й серверне ПЗ, перевіряючи оновлення на тестовій копії.
- 2. Видаляти невикористані плагіни й старі адмін-акаунти.
- 3. Двофакторний вхід для всіх адмін-акаунтів, хостингу й керування доменом.
- 4. Сильні унікальні паролі з менеджера паролів.
- 5. Щоденні бекапи в іншому місці й регулярно перевірене відновлення.
- 6. HTTPS з автоматично продовжуваним сертифікатом і переадресацією з HTTP.
- 7. Заголовки безпеки, як-от HSTS і Content-Security-Policy.
- 8. Захист форм від спаму й автоматичних атак, обмеження завантажень.
- 9. Захист сторінок входу від автоматичного підбору паролів.
- 10. Моніторинг: доступність, строк дії сертифіката, неочікувані зміни файлів.
Обов'язок за цим
Ст. 32 GDPR зобов'язує компанії вживати належних технічних і організаційних заходів для безпеки персональних даних відповідно до сучасного рівня техніки. Сайт із формою зворотного зв'язку, акаунтом клієнта чи магазином під це підпадає. У разі порушення захисту персональних даних ст. 33 GDPR зазвичай вимагає повідомити наглядовий орган протягом 72 годин.
Якщо це вже сталося
Під час інциденту важливий порядок дій:
- Вимкнути сайт або перевести в режим обслуговування.
- Змінити всі паролі: CMS, хостинг, база даних, FTP, пошта.
- Перевірити, чи постраждали персональні дані, і пам'ятати про 72-годинний строк повідомлення.
- Відновити з чистого бекапу до інциденту й закрити вразливість.
- Перевірити в Google Search Console, чи сайт не позначено небезпечним, і подати запит на перевірку.
Супровід замість надії
Безпека — не разовий проєкт. Із договором супроводу оновлення, бекапи й моніторинг відбуваються регулярно, а в разі проблеми є відповідальна особа. Наші пакети супроводу — від €49 на місяць за моніторинг і до однієї години виправлень.
Часті питання
- Чи статичний сайт безпечніший за WordPress?
- Зазвичай так, бо на публічному сервері немає сторінки входу й плагінів. Але залежності, хостинг і сервіси форм однаково треба оновлювати.
- Як зрозуміти, що сайт зламали?
- Типові ознаки: невідомі сторінки чи посилання в Google, переадресація на чужі сайти, попередження браузера, спам із вашої форми чи домену, невідомі адмін-акаунти.
- Скільки коштує перевірка безпеки?
- Базова перевірка версій, доступів, бекапів і заголовків — швидка. Ми назвемо обсяг після огляду вашого сайту.
Джерела
Надішліть адресу сайту. Ми перевіримо версії, доступи, бекапи й заголовки безпеки та скажемо, що зробити.
Перевірити безпеку