Jak zabezpieczyć stronę internetową firmy: 5 rzeczy, które robią różnicę

Krótka odpowiedź: Stronę firmową zabezpiecza się przez pięć rzeczy, które trzeba robić stale, a nie raz: aktualizacje systemu i wtyczek, certyfikat SSL, automatyczne kopie zapasowe trzymane poza serwerem strony, silne hasła z logowaniem dwuskładnikowym oraz ograniczenie liczby zainstalowanych dodatków. Najczęstszą przyczyną włamań na strony małych firm nie jest wyrafinowany atak, tylko nieaktualizowana wtyczka i hasło typu admin123. Zabezpieczenie strony to około 30 minut pracy miesięcznie albo usługa opieki technicznej za kilkadziesiąt złotych.

Włamanie na stronę małej firmy rzadko wygląda jak w filmie. Nikt nie siedzi w kapturze i nie celuje akurat w Ciebie. Zautomatyzowany skrypt przelatuje przez setki tysięcy adresów, szuka znanej dziury w konkretnej wersji wtyczki i wchodzi tam, gdzie ta wersja jest stara. Twoja strona nie jest celem, tylko jednym z wyników wyszukiwania. Dlatego zabezpieczanie strony jest w praktyce nudne: to nie jest jednorazowy zakup, tylko kilka nawyków.

Jak zabezpieczyć stronę internetową: pięć rzeczy, które robią różnicę

Kolejność ma znaczenie, bo pierwsze dwie pozycje odpowiadają za zdecydowaną większość realnych incydentów na stronach firmowych.

Aktualizacje. Jeśli strona stoi na WordPressie, Joomli czy dowolnym popularnym systemie, aktualizuj rdzeń, motyw i wtyczki. Producent wtyczki, który załatał lukę, publikuje o tym informację, a ta informacja jest publiczna także dla atakujących. Od tego momentu każda strona ze starą wersją jest oznaczona na mapie. Właśnie dlatego strona zostawiona bez opieki na dwa lata prawie zawsze kończy z podrzuconym kodem.

Kopia zapasowa poza serwerem strony. To jest Twoja polisa. Kopia leżąca na tym samym serwerze co strona nie jest kopią zapasową, bo przy poważnym włamaniu albo awarii dysku znika razem z oryginałem. Kopia ma trafiać w inne miejsce (chmura, drugi serwer), ma powstawać automatycznie i, co ludzie pomijają, musisz raz na jakiś czas sprawdzić, czy da się z niej odtworzyć stronę. Kopia, której nigdy nie testowałeś, to tylko nadzieja.

SSL. Certyfikat szyfruje połączenie między przeglądarką klienta a serwerem, więc dane z formularza nie lecą otwartym tekstem. Dziś to standard, darmowy w praktycznie każdym hostingu, a jego brak Chrome pokazuje wprost jako ostrzeżenie. Szerzej opisałem to w tekście o tym, dlaczego certyfikat SSL jest potrzebny.

Hasła i dwuskładnikowe logowanie. Ataki słownikowe na panel administracyjny idą non stop. Długie, unikalne hasło z menedżera haseł plus drugi składnik (kod z aplikacji) zamyka ten kierunek prawie całkowicie. Dodatkowo: żadnego konta o nazwie admin i żadnych kont dla ludzi, którzy skończyli już z Wami współpracę.

Mniej wtyczek. Każdy dodatek to cudzy kod z własnym cyklem życia. Wtyczka porzucona przez autora przestaje dostawać poprawki, ale dalej działa na Twojej stronie i dalej ma dostęp do bazy. Sprawdź listę i usuń wszystko, czego nie używasz. Nieaktywna wtyczka nadal leży na serwerze i nadal bywa furtką.

Co grozi stronie firmowej naprawdę

Zwróć uwagę, że najdotkliwszy skutek jest zwykle marketingowy, nie techniczny. Strona po włamaniu wypada z wyników wyszukiwania, a odbudowa pozycji zajmuje miesiące. Płacisz nie za naprawę pliku, tylko za kwartał niewidoczności.

Jak zabezpieczyć stronę internetową hasłem

To osobne pytanie, które ludzie często mylą z powyższym. Chodzi o zamknięcie całej strony lub jej części na hasło, na przykład na czas budowy, przy strefie dla klientów albo przy cenniku hurtowym widocznym tylko dla partnerów.

Są trzy sposoby. Najprostszy to zabezpieczenie na poziomie serwera (w panelu hostingu zwykle nazywa się to ochroną katalogu hasłem): przeglądarka pyta o login, zanim w ogóle dotknie strony. Drugi to funkcja w systemie strony, czyli ustawienie hasła na konkretnej podstronie. Trzeci to prawdziwe konta użytkowników, jeśli każdy klient ma widzieć co innego. Do strony w budowie wystarczy pierwszy sposób. Do stałej strefy partnerskiej potrzebujesz trzeciego, bo jedno hasło dzielone przez dwadzieścia firm przestaje być hasłem po tygodniu.

Czy strona na WordPressie jest bezpieczna

Sam WordPress nie jest dziurawy. Problemem jest ekosystem wokół niego i skala: system napędza około 40 procent stron w internecie, więc każdy zautomatyzowany atak zaczyna właśnie od niego, a typowa strona firmowa ma na pokładzie kilkanaście wtyczek od kilkunastu różnych autorów. Bezpieczeństwo takiej strony jest równe bezpieczeństwu jej najsłabszego dodatku.

WordPress bywa więc całkowicie bezpieczny, pod jednym warunkiem: ktoś go pilnuje. Jeśli nikt nie pilnuje, to tylko kwestia czasu. Alternatywą dla firmy, która nie chce się tym zajmować, jest strona bez rozbudowanego systemu wtyczek albo opieka nad stroną internetową w abonamencie, gdzie aktualizacje i kopie robi wykonawca. Więcej o samym systemie w tekście co to jest CMS.

Rola hostingu w bezpieczeństwie strony

Sporo rzeczy, które sprzedaje się jako osobne zabezpieczenia, powinien robić za Ciebie serwer. Dobry hosting daje darmowy certyfikat SSL, aktualne wersje PHP, zaporę aplikacyjną filtrującą znane ataki, automatyczne kopie z możliwością cofnięcia się o kilka dni i izolację kont, żeby dziura u sąsiada nie zabrała Twojej strony. Tanie konto za 40 zł rocznie zwykle nie ma z tego nic albo ma to tylko w cenniku.

To najmniej efektowna, ale najskuteczniejsza decyzja: przeniesienie strony na serwer, który sam pilnuje kopii i aktualizacji, załatwia większość listy z tego artykułu bez żadnej pracy z Twojej strony. Reszta to już tylko hasła i dyscyplina przy dodawaniu wtyczek.

Jak zabezpieczyć swoją stronę internetową w praktyce: lista na 30 minut

Jeśli masz stronę i nie wiesz, od czego zacząć, zrób to w tej kolejności. Sprawdź, czy adres otwiera się z kłódką i czy wersja bez www też przekierowuje na wersję szyfrowaną. Zaloguj się do panelu i zaktualizuj wszystko, co prosi o aktualizację (najpierw upewnij się, że masz kopię). Usuń wtyczki, których nie używasz, i konta ludzi, którzy odeszli. Zmień hasło administratora na wygenerowane przez menedżer haseł i włącz drugi składnik. Wejdź w panel hostingu i sprawdź, czy kopie zapasowe faktycznie się robią i gdzie leżą. Na koniec wyślij testowe zapytanie przez własny formularz i zobacz, czy dochodzi.

To zajmuje pół godziny raz na kwartał i eliminuje niemal całe realne ryzyko dla strony firmowej. Reszta, czyli skanery, dodatkowe zapory i płatne pakiety bezpieczeństwa, ma sens dopiero wtedy, gdy podstawy są zrobione. W kolejności odwrotnej to tylko kupowanie sobie spokoju.

Co zrobić, gdy strona już została zaatakowana

Po pierwsze nie próbuj czyścić jej ręcznie, jeśli nie wiesz dokładnie, czego szukasz. Podrzucony kod prawie nigdy nie siedzi w jednym pliku i prawie zawsze zostawia sobie drugie wejście. Właściwa kolejność jest taka: odtwórz stronę z kopii sprzed incydentu, zaktualizuj wszystko do najnowszych wersji, zmień wszystkie hasła (panel, hosting, FTP, baza), a dopiero potem poproś Google o ponowne sprawdzenie strony w Search Console. Jeśli nie masz czystej kopii, tanie odtworzenie przestaje istnieć jako opcja i zwykle szybciej wychodzi zbudować stronę od nowa niż udowadniać sobie, że stara jest już czysta.

To jest właśnie moment, w którym decyzja o kopiach zapasowych zwraca się z nawiązką. Opisałem ją osobno w tekście o tym, jak robić kopię zapasową strony internetowej.

Ile kosztuje utrzymanie bezpiecznej strony

Realnie: hosting z kopiami i zaporą to 150 do 300 zł rocznie, certyfikat SSL zwykle 0 zł, a Twój czas to pół godziny na kwartał. Jeśli nie chcesz tego robić sam, opieka techniczna u wykonawcy zaczyna się od kilkudziesięciu złotych miesięcznie i obejmuje aktualizacje, kopie i monitoring. Dla porównania odtworzenie strony po włamaniu bez kopii to koszt nowej strony plus kilka miesięcy odbudowy pozycji w Google.

U nas strony powstają w stałej cenie od 1 490 zł, z SSL i podstawowymi zabezpieczeniami w cenie, a domena rejestrowana jest na Twoją firmę, nie na wykonawcę. Jeśli planujesz nową stronę, zobacz ile kosztuje utrzymanie strony internetowej i policz to razem, bo bezpieczeństwo jest częścią kosztu utrzymania, a nie osobnym produktem.