5 varnostnih znakov, da je vaša spletna stran ranljiva

Ko obiskovalec odpre vašo stran, brskalnik preveri, ali je povezava šifrirana (HTTPS). Če zaščite ni, v naslovni vrstici pokaže opozorilo – v brskalniku Chrome na primer »Povezava ni varna«, v drugih brskalnikih podobno. Obiskovalec to ne vidi kot tehnično podrobnost, ampak kot znak, da podjetje morda ne skrbi dovolj za varnost.

HTTPS šifrira podatke med obiskovalcem in strežnikom. Brez njega lahko kdo na javnem omrežju prebere, kaj uporabnik vnese v obrazec – ime, telefon, sporočilo. Google poleg tega slabše uvršča strani brez HTTPS.

Povprečno 7,3 % malih podjetij še vedno nima veljavnega SSL certifikata. Certifikat sam po sebi ne pomeni popolne varnosti, a brez njega stran sploh ne izpolnjuje osnov.

WordPress in podobni sistemi potrebujejo redne posodobitve. Vsak zastarel vtičnik ali tema je znana vstopna točka za hekerje. Ko razvijalec objavi varnostno popravilo, napadalci pogosto v nekaj urah iščejo strani, ki popravila še niso namestile.

Če ne veste, kdaj je bila stran nazadnje posodobljena – ali posodobitve izvaja le občasno – je to rdeča zastavica. Pri večini vdorov v WordPress gre za znane ranljivosti v vtičnikih, ne za filmske hekerske napade.

Zastarelo gostovanje (stara različica PHP, brez varnostnih popravkov na strežniku) je enako tveganje. Stran je varna le toliko, kolikor je varen njen okolje.

Varnost in skladnost z zakonodajo gresta z roko v roki. Če stran zbira podatke prek obrazca, analitike ali piškotkov, mora obiskovalec vedeti, kaj se z njegovimi podatki dogaja – in imeti možnost soglasja.

Stran brez politike zasebnosti, brez obvestila o piškotkih ali z analitiko, ki se naloži pred soglasjem, ni le pravno tveganje. Signalizira tudi, da podjetje ne upošteva osnovne skrbi za podatke strank.

Po uveljavitvi ZVOP-2 (GDPR v Sloveniji) in večjem nadzoru nad digitalnimi storitvami je to področje, ki ga stranke in partnerji vse pogosteje preverjajo pred sodelovanjem.

Odprt obrazec brez zaščite je magnet za spam bote. Čez noč lahko dobite stotine lažnih sporočil, obrazec pa preneha delovati ali vaš e-poštni predal zapolnijo neželena pošta – zato ne vidite resnih povpraševanj.

Še huje: obrazec, ki pošilja podatke prek nešifrirane povezave ali na javno vidno e-pošto, izpostavlja podatke strank. Javno objavljen e-mail v obliki info@vasepodjetje.si privablja tudi neposreden spam in lažno predstavljanje.

Osnovna zaščita (preverjanje, da sporočilo pošlje človek, ne bot) in omejitev števila pošiljanj na uro nista luksuz – sta minimum za vsako poslovno stran.

Če ima stran viden naslov za prijavo (npr. /wp-admin) in šibko geslo, je to vabilo napadalcem. Brute-force napadi – avtomatsko ugibanje gesel – so med najpogostejšimi. Uporabniško ime »admin« in geslo, ki je enako imenu podjetja, ne vzdrži niti ure.

Drugi pogost problem: več ljudi ima dostop z enakim geslom, ki se nikoli ne zamenja. Ko nekdo zapusti podjetje ali izgubi napravo, dostop ostane odprt.

Za večino malih podjetij zadošča močno geslo, omejen dostop (le tisti, ki res urejajo vsebino) in redna menjava gesel. Še bolje: platforma brez klasičnega »admin vmesnika«, ki ga napadalci že vnaprej poznajo.

Ni treba biti razvijalec. S petimi koraki dobite realno sliko – in jasno vedeti, ali je čas za ukrepanje.

Odvisno od števila znakov imate tri možnosti – od najhitrejše do najbolj trajne.

Varnost spletne strani ni abstraktna IT tema – je del zaupanja, ki ga gradite s strankami. Pet znakov (manjkajoč HTTPS, zastarele posodobitve, pomanjkljiv GDPR, nezaščiten obrazec, šibek admin) prepoznate sami v nekaj minutah.

Mala podjetja so pogosta tarča ravno zato, ker varnost odložijo. Če niste prepričani, kje je vaša največja luknja, pošljite povezavo do strani – pri Gabix.si brez obveznosti pregledamo osnovne varnostne točke in povemo, kaj bi smiselno popraviti ali zamenjati.