Το πρώτο σημάδι ότι η ασφάλεια μιας ιστοσελίδας απέτυχε συχνά δεν είναι κάτι που προσέχει καθόλου ο ιδιοκτήτης. Οι επισκέπτες βλέπουν προειδοποιήσεις, ανακατευθύνονται σε άγνωστες σελίδες ή βρίσκουν τα δεδομένα τους εκτεθειμένα, ενώ η ιστοσελίδα φαίνεται να λειτουργεί κανονικά εξωτερικά. Η ασφάλεια ιστοσελίδας είναι το σύνολο των μέτρων που προστατεύουν μια ιστοσελίδα από μη εξουσιοδοτημένη πρόσβαση, κλοπή δεδομένων, κακόβουλο λογισμικό και διακοπές λειτουργίας. Αυτό το άρθρο καλύπτει γιατί μετράει για κάθε ιστοσελίδα, ανεξάρτητα από το μέγεθος ή τον σκοπό της, πώς μοιάζουν οι πιο συνηθισμένες απειλές και ποιες βασικές προστασίες πρέπει να έχει κάθε ιστοσελίδα.
Οι αυτοματοποιημένες επιθέσεις δεν αξιολογούν μια ιστοσελίδα πριν την στοχεύσουν. Σαρώνουν συνεχώς το διαδίκτυο, ψάχνοντας γνωστά τρωτά σημεία για να εκμεταλλευτούν, ανεξάρτητα από το μέγεθος, τον κλάδο ή τον όγκο επισκεψιμότητας της ιστοσελίδας. Η διαφορά ανάμεσα στις ιστοσελίδες που παραβιάζονται και σε εκείνες που δεν παραβιάζονται σπάνια έχει να κάνει με το πόσο εμφανής είναι μια ιστοσελίδα. Σχεδόν πάντα έχει να κάνει με τα μέτρα ασφαλείας που υπάρχουν.
Τι μπορεί να συμβεί σε μια ανασφαλή ιστοσελίδα;
Οι αστοχίες ασφαλείας ιστοσελίδων δεν είναι πάντα δραματικές. Συχνά περνούν απαρατήρητες από τον ιδιοκτήτη, ενώ προκαλούν σημαντική ζημιά στους επισκέπτες, στη φήμη και στην απόδοση στην αναζήτηση.
Κλοπή δεδομένων
- Αν η ιστοσελίδα σου συλλέγει οποιαδήποτε πληροφορία επισκεπτών, όπως υποβολές φόρμας επικοινωνίας, διευθύνσεις email ή στοιχεία πληρωμής, μια ανασφαλής ιστοσελίδα βάζει αυτά τα δεδομένα σε κίνδυνο
- Μια παραβίαση που εκθέτει δεδομένα επισκεπτών δημιουργεί νομική ευθύνη, ιδίως σε περιοχές όπου οι νόμοι προστασίας δεδομένων απαιτούν ασφαλή χειρισμό προσωπικών πληροφοριών
- Οι επισκέπτες που ανακαλύπτουν ότι τα δεδομένα τους εκτέθηκαν μέσω της ιστοσελίδας σου είναι απίθανο να επιστρέψουν
Έγχυση κακόβουλου λογισμικού
- Οι επιτιθέμενοι που αποκτούν πρόσβαση σε μια ιστοσελίδα μπορούν να εισάγουν κακόβουλο κώδικα που τρέχει αθόρυβα στο παρασκήνιο
- Αυτός ο κώδικας μπορεί να ανακατευθύνει επισκέπτες σε δόλιες σελίδες, να εμφανίζει ανεπιθύμητες διαφημίσεις, να κλέβει στοιχεία σύνδεσης ή να χρησιμοποιεί την ιστοσελίδα για να επιτεθεί σε άλλους
- Ο ιδιοκτήτης συχνά δεν έχει ιδέα ότι συμβαίνει μέχρι να το αναφέρει κάποιος επισκέπτης ή να το επισημάνει ένα εργαλείο σάρωσης ασφαλείας
Αλλοίωση περιεχομένου (defacement)
- Ορισμένες επιθέσεις αντικαθιστούν το περιεχόμενο μιας ιστοσελίδας με το δικό τους μήνυμα, εικόνες ή συνδέσμους του επιτιθέμενου
- Η αλλοίωση περιεχομένου φαίνεται αμέσως και βλάπτει την αξιοπιστία και την εμπιστοσύνη
- Για κάθε ιστοσελίδα που βασίζεται στην παρουσία της στο web για να προσελκύει ή να κρατά επισκέπτες, ένα περιστατικό αλλοίωσης μπορεί να χρειαστεί πολύ χρόνο και προσπάθεια για να ξεπεραστεί
Διακοπή λειτουργίας
- Οι επιθέσεις που σχεδιάζονται για να πνίξουν έναν διακομιστή με κίνηση μπορούν να βγάλουν μια ιστοσελίδα εντελώς εκτός σύνδεσης
- Κάθε ώρα που η ιστοσελίδα είναι εκτός λειτουργίας είναι χαμένη ορατότητα, χαμένοι υποψήφιοι πελάτες και χαμένα έσοδα
- Η ανάκαμψη από μια σοβαρή επίθεση μπορεί να πάρει μέρες αν δεν υπάρχουν αντίγραφα ασφαλείας
Πώς επηρεάζει η ασφάλεια ιστοσελίδας την κατάταξη στην αναζήτηση;
Οι μηχανές αναζήτησης παρακολουθούν ενεργά για προβλήματα ασφαλείας και τα λαμβάνουν υπόψη στην κατάταξη και στην ορατότητα στην αναζήτηση.
Προειδοποιήσεις για κακόβουλο λογισμικό στα αποτελέσματα αναζήτησης
- Όταν μια μηχανή αναζήτησης εντοπίζει κακόβουλο λογισμικό σε μια ιστοσελίδα, προσθέτει ετικέτα προειδοποίησης στην καταχώριση στα αποτελέσματα αναζήτησης
- Οι επισκέπτες που βλέπουν προειδοποίηση πριν κάνουν κλικ σπάνια προχωρούν
- Τα ποσοστά κλικ (CTR) πέφτουν σχεδόν στο μηδέν όταν εμφανίζονται προειδοποιήσεις ασφαλείας, ανεξάρτητα από το πόσο καλά κατατάσσεται η σελίδα
Προειδοποιήσεις ασφαλείας του browser
- Οι browsers εμφανίζουν προειδοποίηση πλήρους οθόνης όταν ένας επισκέπτης προσπαθεί να μπει σε ιστοσελίδα που έχει επισημανθεί ως επικίνδυνη ή σε ιστοσελίδα χωρίς HTTPS
- Οι επισκέπτες πρέπει να επιλέξουν ενεργά να προχωρήσουν πέρα από αυτές τις προειδοποιήσεις, και οι περισσότεροι δεν το κάνουν
- Μια ιστοσελίδα που προκαλεί προειδοποιήσεις browser χάνει επισκεψιμότητα από κάθε επισκέπτη που βλέπει μία
Το HTTPS ως σήμα κατάταξης
- Το HTTPS, η ασφαλής έκδοση του πρωτοκόλλου HTTP, είναι επιβεβαιωμένο σήμα κατάταξης
- Οι ιστοσελίδες που σερβίρουν σελίδες μέσω HTTP και όχι HTTPS βρίσκονται σε μειονεκτική θέση κατάταξης σε σχέση με ισοδύναμες σελίδες που σερβίρονται με ασφάλεια
- Οι browsers επισημαίνουν επίσης τις ιστοσελίδες HTTP ως «Μη ασφαλείς» στη γραμμή διευθύνσεων, κάτι που μειώνει την εμπιστοσύνη των επισκεπτών ακόμα και πριν από οποιαδήποτε αλληλεπίδραση
Για πλήρη εξήγηση του πώς λειτουργεί το HTTPS και τι προστατεύει, δες το άρθρο τι είναι το HTTPS και πώς προστατεύει την ιστοσελίδα σου.
Ποιες είναι οι πιο συνηθισμένες απειλές ασφαλείας ιστοσελίδων;
Επιθέσεις ωμής βίας (brute force)
- Αυτοματοποιημένα εργαλεία δοκιμάζουν χιλιάδες συνδυασμούς ονόματος χρήστη και κωδικού για να αποκτήσουν πρόσβαση σε πίνακες διαχείρισης ιστοσελίδων
- Οι αδύναμοι κωδικοί και οι απεριόριστες προσπάθειες σύνδεσης κάνουν τις επιθέσεις ωμής βίας εύκολες στην εκτέλεση
- Η ταυτοποίηση δύο παραγόντων και τα όρια προσπαθειών σύνδεσης μειώνουν σημαντικά αυτόν τον κίνδυνο
SQL injection
- Οι επιτιθέμενοι εισάγουν κακόβουλο κώδικα σε πεδία φορμών ή παραμέτρους URL για να χειραγωγήσουν ερωτήματα στη βάση δεδομένων
- Ένα επιτυχημένο SQL injection μπορεί να εκθέσει ή να διαγράψει περιεχόμενο της βάσης δεδομένων, μαζί με δεδομένα πελατών
- Αυτή η απειλή αφορά ιδιαίτερα ιστοσελίδες με πεδία αναζήτησης, φόρμες σύνδεσης ή φόρμες επικοινωνίας που αλληλεπιδρούν με βάση δεδομένων
Cross-site scripting
- Κακόβουλα scripts εισάγονται σε μια σελίδα που φορτώνουν στη συνέχεια οι άλλοι επισκέπτες στους browsers τους
- Αυτά τα scripts μπορούν να κλέψουν cookies συνεδρίας, να ανακατευθύνουν επισκέπτες ή να καταγράψουν ό,τι πληκτρολογούν σε φόρμες
- Το cross-site scripting είναι από τα πιο συνηθισμένα τρωτά σημεία σε web εφαρμογές
Κακόβουλο λογισμικό και ransomware
- Μόλις ένας επιτιθέμενος αποκτήσει πρόσβαση σε μια ιστοσελίδα, μπορεί να εγκαταστήσει κακόβουλο λογισμικό που τρέχει στο παρασκήνιο, συλλέγει δεδομένα ή κρυπτογραφεί αρχεία
- Το ransomware κλειδώνει τους ιδιοκτήτες έξω από τις ίδιες τους τις ιστοσελίδες και ζητά πληρωμή για να αποκατασταθεί η πρόσβαση
- Τα τακτικά αντίγραφα ασφαλείας είναι η βασική άμυνα απέναντι στο ransomware, γιατί η επαναφορά από ένα καθαρό αντίγραφο αφαιρεί τον μοχλό πίεσης του επιτιθέμενου
Παλιό λογισμικό
- Τα γνωστά τρωτά σημεία στο λογισμικό ιστοσελίδων, στα plugins και στα θέματα δημοσιεύονται δημόσια μόλις κυκλοφορήσουν οι διορθώσεις
- Οι ιστοσελίδες που τρέχουν παλιές εκδόσεις είναι ευάλωτες σε επιθέσεις που εκμεταλλεύονται αυτά τα δημοσιευμένα τρωτά σημεία
- Το να κρατάς το λογισμικό ενημερωμένο είναι από τα πιο απλά μέτρα ασφαλείας ιστοσελίδας που υπάρχουν
Ποια είναι τα βασικά μέτρα ασφαλείας που πρέπει να έχει κάθε ιστοσελίδα;
HTTPS και πιστοποιητικό SSL
- Κάθε ιστοσελίδα πρέπει να σερβίρει σελίδες μέσω HTTPS, που κρυπτογραφεί τα δεδομένα κατά τη μεταφορά ανάμεσα στον browser του επισκέπτη και στον διακομιστή
- Το πιστοποιητικό SSL είναι αυτό που ενεργοποιεί το HTTPS. Χωρίς αυτό, τα δεδομένα μεταδίδονται ως απλό κείμενο και μπορούν να υποκλαπούν
- Οι browsers επισημαίνουν τις ιστοσελίδες χωρίς HTTPS ως «Μη ασφαλείς». Οι επισκέπτες είναι απίθανο να υποβάλλουν φόρμες ή να κάνουν αγορές σε ιστοσελίδα με αυτή την ετικέτα
Για πλήρη εξήγηση του πώς λειτουργούν τα πιστοποιητικά SSL και πώς να αποκτήσεις ένα, δες το άρθρο τι είναι το πιστοποιητικό SSL και πώς λειτουργεί.
Ισχυρή ταυτοποίηση
- Οι λογαριασμοί διαχειριστή πρέπει να χρησιμοποιούν ισχυρούς, μοναδικούς κωδικούς και ταυτοποίηση δύο παραγόντων
- Περιόρισε τις προσπάθειες σύνδεσης για να μπλοκάρεις τα αυτοματοποιημένα εργαλεία ωμής βίας
- Αφαίρεσε τους λογαριασμούς διαχειριστή που δεν χρησιμοποιούνται. Κάθε ενεργός λογαριασμός με αδύναμα στοιχεία είναι πιθανό σημείο εισόδου
Τακτικά αντίγραφα ασφαλείας
- Τα αντίγραφα ασφαλείας επιτρέπουν να επαναφερθεί μια ιστοσελίδα σε καθαρή κατάσταση μετά από επίθεση, χωρίς να πληρώσεις λύτρα ή να ξαναχτίσεις από την αρχή
- Τα αντίγραφα ασφαλείας πρέπει να αποθηκεύονται ξεχωριστά από την ίδια την ιστοσελίδα. Ένα αντίγραφο που είναι αποθηκευμένο στον ίδιο διακομιστή χάνεται αν παραβιαστεί ο διακομιστής
- Δοκίμαζε περιοδικά τις επαναφορές για να βεβαιωθείς ότι τα αντίγραφα ασφαλείας δουλεύουν όπως περιμένεις
Ενημερώσεις λογισμικού
- Εφάρμοσε ενημερώσεις στην πλατφόρμα της ιστοσελίδας, στα plugins, στα θέματα και σε κάθε ενσωμάτωση τρίτων μόλις γίνουν διαθέσιμες
- Οι ενημερώσεις περιλαμβάνουν συχνά διορθώσεις ασφαλείας που κλείνουν τρωτά σημεία που ανακαλύφθηκαν μετά την προηγούμενη έκδοση
Τείχος προστασίας εφαρμογών web
- Ένα τείχος προστασίας εφαρμογών web (web application firewall) βρίσκεται ανάμεσα στην εισερχόμενη κίνηση και στην ιστοσελίδα και φιλτράρει γνωστά κακόβουλα αιτήματα πριν φτάσουν στον διακομιστή
- Τα τείχη προστασίας μπορούν να μπλοκάρουν αυτόματα απόπειρες SQL injection, cross-site scripting, κίνηση από bots και άλλα συνηθισμένα πρότυπα επίθεσης
Για πλήρη οδηγό προστασίας της ιστοσελίδας σου από μη εξουσιοδοτημένη πρόσβαση και επιθέσεις, δες το άρθρο πώς να προστατέψεις την ιστοσελίδα σου από hackers. Για το πώς να στήσεις τακτικά αντίγραφα ασφαλείας, δες το άρθρο πώς να κάνεις αντίγραφα ασφαλείας της ιστοσελίδας σου.
Πώς χειρίζεται το WEMASY την ασφάλεια ιστοσελίδας
Ο δημιουργός ιστοσελίδων του WEMASY περιλαμβάνει πιστοποιητικά SSL σε κάθε πακέτο, οπότε όλες οι ιστοσελίδες σερβίρονται μέσω HTTPS από προεπιλογή. Δεν χρειάζεται ξεχωριστή ρύθμιση ή αγορά. Η υποδομή φιλοξενίας περιλαμβάνει προστασία τείχους προστασίας και μετριασμό DDoS σε επίπεδο δικτύου, που μειώνει την έκθεση σε συνηθισμένες αυτοματοποιημένες επιθέσεις χωρίς καμία ρύθμιση από τον ιδιοκτήτη της ιστοσελίδας.
Το λογισμικό που τρέχει στην πλατφόρμα του WEMASY συντηρείται και ενημερώνεται από την ομάδα της πλατφόρμας, οπότε οι ιδιοκτήτες ιστοσελίδων δεν έχουν την ευθύνη να εφαρμόζουν διορθώσεις ασφαλείας στο υποκείμενο σύστημα.
Δες τι περιλαμβάνεται στον δημιουργό ιστοσελίδων του WEMASY ή δες τις επιλογές πακέτων στη σελίδα τιμών.
Συχνές ερωτήσεις
Γιατί είναι σημαντική η ασφάλεια της ιστοσελίδας;
Η ασφάλεια της ιστοσελίδας προστατεύει ταυτόχρονα τους επισκέπτες, τα δεδομένα της ιστοσελίδας και την ορατότητα στην αναζήτηση. Μια ανασφαλής ιστοσελίδα μπορεί να χρησιμοποιηθεί για να κλαπούν δεδομένα επισκεπτών, να διαδοθεί κακόβουλο λογισμικό σε όσους την επισκέπτονται ή να βγει εντελώς εκτός σύνδεσης. Οι μηχανές αναζήτησης επισημαίνουν τις ανασφαλείς ιστοσελίδες στα αποτελέσματα και οι browsers προειδοποιούν τους επισκέπτες πριν μπουν, και τα δύο μειώνουν δραματικά την επισκεψιμότητα. Ένα περιστατικό ασφαλείας μπορεί να βλάψει μόνιμα την εμπιστοσύνη και την ορατότητα που έχει χτίσει μια ιστοσελίδα. Με τον δημιουργό ιστοσελίδων του WEMASY μπορείς να το ρυθμίσεις απευθείας στην ιστοσελίδα σου.
Χρειάζονται όλες οι ιστοσελίδες ασφάλεια;
Ναι. Οι αυτοματοποιημένες επιθέσεις σαρώνουν συνεχώς το διαδίκτυο για τρωτά σημεία και δεν στοχεύουν ιστοσελίδες με βάση το μέγεθος ή την επισκεψιμότητα. Κάθε ιστοσελίδα που είναι δημόσια προσβάσιμη είναι πιθανός στόχος. Οι συνέπειες μιας παραβίασης, δηλαδή χαμένα δεδομένα, προειδοποιήσεις για κακόβουλο λογισμικό στα αποτελέσματα αναζήτησης, διακοπή λειτουργίας και νομική ευθύνη, είναι οι ίδιες ανεξάρτητα από το μέγεθος ή τον σκοπό της ιστοσελίδας.
Επηρεάζει η ασφάλεια της ιστοσελίδας το SEO;
Ναι, άμεσα. Το HTTPS είναι επιβεβαιωμένο σήμα κατάταξης, που σημαίνει ότι οι ιστοσελίδες που σερβίρονται με ασφάλεια έχουν πλεονέκτημα κατάταξης έναντι των ιστοσελίδων HTTP. Επιπλέον, οι ιστοσελίδες που επισημαίνονται για κακόβουλο λογισμικό από τις μηχανές αναζήτησης παίρνουν ετικέτες προειδοποίησης στα αποτελέσματα αναζήτησης που μειώνουν το CTR σχεδόν στο μηδέν. Οι προειδοποιήσεις ασφαλείας του browser μπλοκάρουν τους επισκέπτες πριν φτάσουν στη σελίδα. Ένα περιστατικό ασφαλείας μπορεί να αφαιρέσει εντελώς μια ιστοσελίδα από τα αποτελέσματα αναζήτησης μέχρι να λυθεί και να εξεταστεί το πρόβλημα.
Ποιο είναι το πιο σημαντικό μέτρο ασφαλείας ιστοσελίδας;
Το HTTPS μέσω πιστοποιητικού SSL είναι η ελάχιστη βάση. Χωρίς αυτό, τα δεδομένα που υποβάλλονται μέσω φορμών ταξιδεύουν ως απλό κείμενο και οι browsers επισημαίνουν την ιστοσελίδα ως μη ασφαλή. Πέρα από αυτό, η ισχυρή ταυτοποίηση στους λογαριασμούς διαχειριστή και η ενημέρωση όλου του λογισμικού είναι τα δύο μέτρα που αποτρέπουν τις περισσότερες συνηθισμένες επιθέσεις. Τα τακτικά αντίγραφα ασφαλείας είναι η εφεδρική λύση που περιορίζει τη ζημιά όταν αποτύχουν τα άλλα μέτρα.
Πώς καταλαβαίνω αν η ιστοσελίδα μου έχει παραβιαστεί;
Συνηθισμένα σημάδια είναι επισκέπτες που αναφέρουν απροσδόκητες ανακατευθύνσεις σε άλλες ιστοσελίδες, αποτελέσματα αναζήτησης που δείχνουν άγνωστες σελίδες ή προειδοποιήσεις, ιστοσελίδα που φορτώνει αισθητά πιο αργά από το συνηθισμένο, περιεχόμενο που εμφανίζεται χωρίς να το έχει προσθέσει ο ιδιοκτήτης ή αποκλεισμός από τον πίνακα διαχείρισης. Πολλές επιθέσεις σχεδιάζονται να είναι αόρατες για τον ιδιοκτήτη ενώ επηρεάζουν τους επισκέπτες, γι' αυτό είναι σημαντικές συνήθειες ο τακτικός έλεγχος των αναφορών σάρωσης ασφαλείας και η παρακολούθηση της απόδοσης στην αναζήτηση για ασυνήθιστες πτώσεις.
Ποια είναι η διαφορά ανάμεσα στην ασφάλεια ιστοσελίδας και στην ασφάλεια φιλοξενίας;
Η ασφάλεια φιλοξενίας αναφέρεται σε προστασίες που εφαρμόζονται σε επίπεδο υποδομής, μαζί με τον διακομιστή, το δίκτυο και το data center. Η ασφάλεια ιστοσελίδας αναφέρεται σε προστασίες που εφαρμόζονται σε επίπεδο ιστοσελίδας, μαζί με τον κώδικα της εφαρμογής, τα συστήματα ταυτοποίησης και τη ρύθμιση. Και τα δύο μετράνε. Ένα ασφαλές περιβάλλον φιλοξενίας δεν προστατεύει μια ιστοσελίδα με αδύναμους κωδικούς ή παλιό λογισμικό, και η ισχυρή ασφάλεια σε επίπεδο ιστοσελίδας δεν μπορεί να αντισταθμίσει έναν πάροχο φιλοξενίας με κακές πρακτικές υποδομής.