Bezpečnost webu pro malé firmy – 10 opatření, která zvládnete sami bez programátora i velkého rozpočtu
Bezpečnost webu se u malých firem bohužel v mnoha případech odkládá s tím, že útočníky zajímají jen velké společnosti. Ve skutečnosti většina útoků probíhá automaticky. Roboti procházejí internet a hledají weby se zastaralým softwarem či slabým heslem bez ohledu na to, komu patří. Napadený web pak rozesílá spam, přesměrovává návštěvníky na podvodné stránky a ztrácí pozice ve vyhledávání.
Projdete si deset opatření, která zvládnete nastavit sami během jednoho odpoledne, abyste takovým situacím předcházeli.
Proč jsou malé weby častým cílem
Malé weby bývají snadnou kořistí, protože se o ně nikdo pravidelně nestará. Spousta z nich byla vytvořena před několika lety a běží na původní verzi redakčního systému a doplňků, které mezitím obsahují známé bezpečnostní chyby. Útočníci tyto chyby hledají hromadně.
Jak taková situace vypadá v praxi, ukazuje třeba tento popis čištění napadeného WordPressu. Útok začal u zastaralé instalace a zranitelného doplňku a jeho odstranění zabralo mnohem víc času než prevence.
10 opatření pro bezpečnější web
1. Zapněte automatické aktualizace
Aktualizace redakčního systému, šablon a doplňků opravují známé chyby. Většina redakčních systémů dnes umí aktualizace instalovat automaticky. Zapněte je a jednou měsíčně ověřte, že proběhly.
U velkých aktualizací redakčního systému si předem pořiďte zálohu. Pokud by nová verze narazila na nesoulad s některým doplňkem, web snadno vrátíte do původního stavu.
2. Odstraňte nepoužívané doplňky a šablony
Každý nainstalovaný doplněk představuje možnou vstupní bránu, a to i když je vypnutý. Projděte seznam a odstraňte vše, co nepoužíváte. Zbavte se také doplňků, které autor dlouho neaktualizuje.
3. Používejte silná a jedinečná hesla
Heslo do administrace by mělo být dlouhé a nikde jinde nepoužité. Nejjednodušší je správce hesel, který silná hesla vygeneruje a uloží. Změňte i výchozí heslo k hostingu a databázi, pokud ho máte od zřízení. Nepoužívejte ani přihlašovací jméno „admin“, které roboti zkoušejí jako první. Více pravidel pro silná hesla najdete tady.
4. Nastavte dvoufázové ověření
Druhý krok přihlášení, typicky kód z aplikace v telefonu, ochrání účet i tehdy, když heslo unikne. Většina redakčních systémů ho podporuje přímo, případně pomocí jednoduchého doplňku.
5. Omezte počet pokusů o přihlášení
Automatizovaní roboti zkoušejí tisíce kombinací jmen a hesel. Omezení počtu neúspěšných pokusů je zastaví po několika chybách. Nastavení zvládnete pomocí doplňku či v administraci hostingu.
6. Pohlídejte uživatelské účty
Projděte seznam uživatelů s přístupem do administrace. Smažte účty bývalých zaměstnanců a dodavatelů a ostatním přidělte jen taková oprávnění, která skutečně potřebují. Redaktor nepotřebuje práva správce.
Pokud web spravuje externí agentura, vytvořte jí samostatný účet. Po skončení spolupráce ho jednoduše zrušíte a nemusíte měnit hesla ostatním uživatelům.
7. Zálohujte mimo server
Záloha uložená na stejném serveru jako web při útoku či havárii zmizí spolu s ním. Nastavte pravidelné zálohy do jiného úložiště a alespoň jednou za čtvrt roku vyzkoušejte, že se z nich web opravdu obnoví.
Uchovávejte více verzí záloh, ideálně za několik posledních týdnů. Napadení se často odhalí až s odstupem a nejnovější záloha už může obsahovat škodlivý kód.
8. Zkontrolujte šifrované spojení
Web by měl běžet výhradně přes HTTPS s platným certifikátem, který se automaticky obnovuje. Jak ověřit, že je šifrování nastavené správně, najdete například v tomto textu na téma kontroly bezpečnosti HTTPS.
9. Chraňte formuláře
Kontaktní a objednávkové formuláře lákají spamové roboty. Ochrana proti spamu, kterou nabízí většina redakčních systémů, odfiltruje automatické odeslání. Zákazníky přitom neobtěžuje. Formuláře, které ukládají osobní údaje, by navíc měly běžet výhradně přes šifrované spojení.
10. Pravidelně kontrolujte stav webu
Zřiďte si účet v Google Search Console, který vás upozorní na podezřelý obsah a bezpečnostní problémy zjištěné vyhledávačem. Jednou za čas si nechte web zkontrolovat i nástrojem. Rychlou orientaci nabízí kontrola bezpečnosti webu. Pomůže ověřit základní bezpečnostní nastavení webu a odhalit slabá místa, na která se při běžném provozu zapomíná.
Kolik času a peněz opatření stojí
Většinu zde popsaných opatření lze udělat zdarma. Automatické aktualizace, dvoufázové ověření i ochranu formulářů nabízejí redakční systémy a hostingy už v základu, případně pomocí bezplatných doplňků. Správce hesel a externí úložiště záloh vyjdou v řádu desítek korun měsíčně.
Časově je nejnáročnější první nastavení, které zabere několik hodin. Pravidelná údržba pak vyžaduje jen krátkou kontrolu jednou za měsíc až čtvrtletí. Ve srovnání s náklady na vyčištění napadeného webu jde o zanedbatelný výdaj.
Jak poznat, že se něco děje
Napadení se často projeví nenápadně. Varovným ukazatelem je náhlý pokles návštěvnosti z vyhledávání, nové stránky v indexu, které jste nevytvořili, cizí odkazy v textech či přesměrování návštěvníků z mobilu na jiný web. Podezřelé jsou i neznámé uživatelské účty a soubory s nedávným datem změny.
Pokud cokoli z toho zaznamenáte, kontaktujte hosting a obnovte web ze zálohy pořízené před napadením. Poté změňte všechna hesla a aktualizujte veškerý software. Bez těchto kroků se totiž útočník často vrátí stejnou cestou.
Prevence by měla být součástí běžného provozu
Bezpečnost webu tvoří drobné návyky: aktualizace, silná hesla, zálohy a pravidelná kontrola. Většinu z nich nastavíte jednou a dál běží samy. Vyhraďte si jedno odpoledne na projití všech deseti opatření a do kalendáře si zapište čtvrtletní kontrolu. Čas, který jí věnujete, je zlomkem toho, co by jinak zabralo čištění napadeného webu a obnova důvěry zákazníků.
