Site-ul este adesea cel mai expus sistem al unei firme: este public, rulează non-stop și, de multe ori, a fost făcut de cineva care nu se mai ocupă de el. Iată zece verificări pe care le puteți face sau le puteți cere furnizorului, înainte de un audit de securitate complet.

1. Actualizări

Platforma (WordPress, alt CMS sau framework-ul aplicației), temele, pluginurile și serverul trebuie să fie la zi. Majoritatea site-urilor compromise automat rulează versiuni vechi, cu vulnerabilități deja publice.

2. Pluginuri și componente nefolosite

Ce nu folosiți, ștergeți. Un plugin dezactivat, dar lăsat pe server, poate fi încă exploatat.

3. Conturile de administrare

Verificați cine are acces de administrator. Conturile foștilor angajați sau ale fostelor agenții trebuie șterse. Fiecare persoană are contul ei, nu o parolă comună.

4. Autentificare în doi pași

Pentru panoul de administrare, găzduire, domeniu și email, activați autentificarea în doi pași. Protejează contul chiar dacă parola ajunge la altcineva.

5. Backup testat

Un backup care nu a fost niciodată restaurat este doar o speranță. Păstrați copii în afara serverului site-ului și încercați periodic o restaurare.

6. HTTPS peste tot

Tot site-ul trebuie servit prin HTTPS, cu redirect automat de la HTTP și un certificat valid, reînnoit automat.

7. Formularele

Formularele de contact, comandă sau autentificare sunt principalele puncte de intrare. Ele trebuie să valideze datele primite, să fie protejate împotriva trimiterilor automate și să nu afișeze erori tehnice detaliate.

8. Ce informații se văd din exterior

Paginile de eroare, fișierele de configurare, copiile de siguranță lăsate în folderul public sau panourile de administrare ale serverului nu trebuie să fie accesibile de pe internet.

9. Header-ele de securitate

Serverul poate trimite browserului instrucțiuni care reduc riscul anumitor atacuri: Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options și altele. Sunt ușor de adăugat și se verifică rapid.

10. Emailul domeniului

Configurați SPF, DKIM și DMARC pentru domeniu. Astfel este mult mai greu ca altcineva să trimită emailuri care par că vin de la firma dumneavoastră.

Ce urmează

Lista de mai sus acoperă bazele. Un audit de securitate merge mai departe: testează aplicația așa cum ar face-o un atacator, inclusiv logica specifică site-ului, și vă spune concret ce este vulnerabil și în ce ordine să reparați.

Testați numai sistemele pe care le dețineți sau pentru care aveți acordul scris al proprietarului.