Weby malých firem málokdy napadá někdo, kdo si je vybral. Zasáhnou je automatické nástroje, které hledají stejných pár slabin na tisících webů najednou. To je dobrá zpráva, protože uzavření těchto slabin nepotřebuje bezpečnostní tým. Stačí seznam a jedno odpoledne.
Tady je ten seznam: na co se podívat, na co se zeptat vývojáře a před čím která položka chrání.
HTTPS všude
Každá stránka by se měla načítat přes HTTPS a obyčejná adresa HTTP by na ni měla přesměrovat. To je ten zámek v adresním řádku. Brání tomu, aby někdo ve stejné síti Wi-Fi četl nebo měnil, co vaši návštěvníci odesílají a vidí, včetně kontaktního formuláře.
Certifikáty zdarma nabízí většina hostingů a samy se obnovují. Pokud ten váš vyprší, prohlížeč zobrazí děsivé varování a návštěvníci odejdou. Ověřte, že se obnova děje automaticky.
Šest hlaviček odpovědi, které stojí za to mít
Server může s každou stránkou posílat drobné pokyny, takzvané hlavičky odpovědi, které prohlížeči říkají, aby byl opatrný. Doporučuje je OWASP, nadace, která spravuje nejznámější seznam rizik webové bezpečnosti.
Strict-Transport-Security říká prohlížečům, aby váš web používaly jen přes HTTPS, s hodnotou například max-age=63072000. X-Content-Type-Options nastavená na nosniff brání prohlížeči hádat, o jaký soubor jde. Referrer-Policy nastavená na strict-origin-when-cross-origin omezuje, kolik informací o prohlížení návštěvníků putuje na další weby. Permissions-Policy vypíná funkce prohlížeče, které nepoužíváte, například kameru nebo mikrofon. X-Frame-Options nastavená na DENY brání jiným webům zobrazit váš web v rámu, čímž funguje clickjacking. Content-Security-Policy omezuje, odkud se smějí načítat skripty a další obsah, což zmenšuje škody, pokud se na stránku dostane něco škodlivého. Je nejúčinnější a vyžaduje nejvíc péče, protože příliš přísná politika web rozbije.
Stejně tak odstraňte hlavičky, které útočníkům prozrazují, co provozujete. OWASP radí vypustit hlavičky Server a X-Powered-By nebo jim dát neurčitou hodnotu.
Své hlavičky si můžete prohlédnout ve vývojářských nástrojích prohlížeče, na kartě Síť (Network), kliknutím na první požadavek. Web, který byl postaven pečlivě, většinu z nich už posílá.
Aktualizace
Většina úspěšných útoků na malé weby využívá známou chybu v softwaru, který nebyl aktualizován: v systému pro správu obsahu, v doplňku nebo šabloně. Oprava obvykle už existuje. Vězte, co váš web provozuje, kdo je zodpovědný za aktualizace a jak často je dělá.
Méně součástí znamená méně věcí k aktualizaci. Každý doplněk, který odstraníte, jsou dveře, které už nemusíte zamykat. Web postavený bez velkého množství cizího kódu se udržuje bezpečný snadněji.
Přihlášení a přístupy
Používejte správce hesel a pro každé administrátorské přihlášení jiné dlouhé heslo a všude, kde je to možné, zapněte dvoufázové ověření, zejména u hostingu, registrátora domény a e-mailu. Ukradená nebo opakovaně použitá hesla jsou mnohem častější cestou dovnitř než chytré hackerství.
Dejte každému vlastní účet a odstraňte lidi, kteří odešli. Přidělujte co nejmenší přístup, který člověk k práci potřebuje.
Zálohy, které jste vyzkoušeli
Záloha, kterou jste nikdy neobnovili, je naděje, ne záloha. Ujistěte se, že existují pravidelné kopie webu a jeho dat uložené mimo samotný server a že někdo alespoň jednou zkusil nějakou obnovit. Pokud se stane nejhorší, právě to promění katastrofu ve špatné odpoledne.
Jde o obecné rady, ne o bezpečnostní audit. Pokud přijímáte platby, ukládáte osobní údaje zákazníků nebo provozujete aplikaci na míru, nechte si udělat skutečnou kontrolu.