Základy bezpečnosti firemního webu: 8 věcí ke kontrole

Napadený web není jen technický problém. Znamená ztracenou důvěru zákazníků, zablokovanou e-mailovou doménu nebo propad ve vyhledávání. Většina útoků přitom míří na stejná, dobře známá slabá místa. Tady je osm bodů, které stojí za kontrolu.

1. Používejte HTTPS na celém webu

Šifrované spojení je dnes samozřejmost. Ověřte, že se každá adresa s http:// automaticky přesměruje na https:// a že certifikát nevyprší bez povšimnutí.

2. Mějte co nejméně pohyblivých částí

Redakční systémy, šablony a pluginy jsou častým cílem útoků, protože jejich slabiny jsou veřejně známé. Čím méně cizího kódu web používá, tím menší je plocha, na kterou lze útočit, a tím méně aktualizací je potřeba hlídat.

3. Aktualizujte a zálohujte

Aktualizace opravují známé chyby. Zálohy jsou ale k ničemu, pokud nikdy nikdo nezkusil, že se z nich dá web obnovit. Zálohu ukládejte mimo server, na kterém web běží, a obnovení si občas vyzkoušejte.

4. Chraňte formuláře před spamem

Kontaktní formulář je brána, kterou do vaší schránky míří automatické zprávy. Základ tvoří kontrola dat na serveru (ne jen v prohlížeči), skrytá pole, na která se chytí roboty, a omezení počtu zpráv z jedné adresy za čas.

5. Nastavte bezpečnostní hlavičky

Webový server může prohlížeči říct, co smí stránka načítat a jak se s ní má zacházet. Několik řádků výrazně omezí dopad řady útoků:

Content-Security-Policy: default-src 'self'; frame-ancestors 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin

Politika obsahu (CSP) se dá nastavit tak, aby web načítal skripty jen z vlastní domény. Při přidání nové služby, například měření návštěvnosti, je pak nutné ji výslovně povolit.

6. Zabezpečte přístupy

• Pro hosting, doménu a e-mail používejte silná jedinečná hesla a dvoufázové ověření.
• Každý správce má mít vlastní účet; po odchodu spolupracovníka přístup hned zrušte.
• Registraci domény chraňte před nechtěným převodem a hlídejte její platnost.

7. Neveřejné soubory nenechte veřejné

Zálohy, tabulky s podklady, konfigurace a poznámky se na veřejném serveru nesmí dát otevřít přes adresu v prohlížeči. Ověřte, že přístup k nim server odmítá.

8. Sledujte, co se s webem děje

Monitoring dostupnosti vás upozorní, že web nejede, dřív než zákazník. Hlídat se dá i platnost certifikátu a platnost domény.

Závěr

Bezpečnost není produkt, který se jednou koupí, ale pravidelná péče. Základní body výše zvládne zkontrolovat každý; zbytek je otázka důslednosti.