Безпека сайту справедливо можна віднести до категорії безпеки бізнесу.

2 min Навіщо потрібна підвищена безпека сайту?
За 2016 рік лише компанією Google було зафіксовано понад 800 000 зломів сайтів. Тенденція показує, що цей показник збільшується зі зростанням конкуренції в мережі.

Аналізуючи ретроспективу, простежується тенденція:

vzlomy sajtov grafik Навіщо потрібна підвищена безпека сайту?

Звичайно, чим далі в минуле, тим менше показник зломів та компрометації сайтів, з тієї причини, що самих сайтів було менше. Але графік показує проблематику в цілому.

Йдеться не тільки про зломи сайтів великих корпорацій, банків чи державних установ.

Об’єктом атак зловмисників (хакерів) може стати:

  • невеликий інтернет-магазин;
  • корпоративний сайт компанії середньої руки;
  • landing page або персональний блог;
  • будь-який сайт з низьким рівнем безпеки.

Типи атак на веб-сайти

Атаки та їхні результати можуть бути різними:

  • DDos-атака.
    Принцип досить простий: на одну сторінку сайту провокують запуск великої кількості запитів доти, доки сервер сайту не вичерпає ресурсів для їх обробки.

    У результаті, кажучи простою мовою – «білий екран» замість вашого сайту.

  • Злом сайту.
    Це ситуація, коли зловмисники тим чи іншим способом отримують доступ до вашого сайту. Наслідки можуть бути різними:

    • Видалення сайту повністю або частково. Тут без коментарів.
    • Розміщення на ресурсі шкідливого коду (вірусу). Це вишукана форма шкоди вашому сайту та бізнесу загалом, оскільки ваш сайт отримає репутацію такого, що поширює віруси, за що можуть слідувати дуже неприємні санкції від пошукових систем та інших авторитетних інтернет-організацій.
    • Отримання доступу до конфіденційної інформації. Наприклад, до бази покупців вашого інтернет-магазину, їхньої статистики замовлень і так далі.
    • Зміна налаштувань. Як варіант, закрити сайт від індексації пошуковими системами, тоді сайт може повністю зникнути з видачі Google, Яндекс та інших пошуковиків.

Навіщо хакери зламують сайти?

Насправді мотивація хакерів дуже зрозуміла:

  1. Гроші. Ваш сайт можуть атакувати на замовлення, причому це не так дорого. Ціни починаються від 30 доларів. Тобто це може бути доступно вашим конкурентам або заздрісникам.
  2. Конкуренція в пошуку. Якщо ви активно просуваєте сайт у пошукових системах або розміщуєте контекстну рекламу, так звані «чорні SEOшники», щоб «розчистити» собі місце в ТОПі, можуть здійснювати спроби атаки на ваш сайт.
  3. Тренування та підвищення навичок. Перш ніж здійснювати атаку на сайт серверів Пентагону, початківцю-хакеру необхідно тренуватися. Чому б це не зробити на якомусь простенькому сайті?
Висновок очевидний – безпека сайту потребує особливої уваги від власника бізнесу, інакше це може обернутися втратою грошей, часу, зривом бізнес-планів.

Найбільш піддаються зломам сайти, розроблені на популярних платформах (CMS):

uyazvimye cms Навіщо потрібна підвищена безпека сайту?

Це пов’язано з тим, що ці системи доступні кожному для вивчення їхньої структури та логіки роботи.

Невже варто відмовитися від створення сайту на популярній платформі?

Звичайно, ні! Адже подальший розвиток сайту на популярній CMS значно дешевший, простіший та ефективніший, ніж на так званій «самописній».

У цій статті я торкаюся цієї теми.

Команда веб-студії BUSINESSSITE спеціалізується на створенні сайтів на CMS WordPress – найкращій платформі для корпоративних сайтів і landing page. Ми розробили низку заходів, які значно підвищують рівень безпеки сайтів наших клієнтів.

Підвищений рівень безпеки сайту за стандартами BUSINESS SITE

Цей перелік почну зі стандартних заходів безпеки.

Налаштування ЧПУ (людино-зрозумілих URL) адрес сторінок вашого сайту

Що мається на увазі:

    ne chpu url Навіщо потрібна підвищена безпека сайту?

  • без налаштування ЧПУ.
    Такий формат URL-адреси дозволяє звертатися до бази даних сайту через адресний рядок і за допомогою так званих SQL-ін’єкцій отримати логін і пароль від системи управління сайтом.

    • nadezhnui chpu url business site Навіщо потрібна підвищена безпека сайту?

  • ЧПУ налаштовані.
    У цьому випадку можливість зламу сайту через адресний рядок практично виключена. Також це обов’язковий захід для внутрішньої SEO оптимізації сайту.

Видалення зайвих плагінів та тем

При встановленні CMS часто інсталюються її безкоштовні компоненти (теми та плагіни), які не беруть участі в роботі сайту. Для того, щоб не залишати зловмисникам додаткові лазівки для зламу, всі компоненти сайту, які не беруть участі в його роботі, необхідно видалити.

Це не якась інновація та унікальна розробка нашої команди. Це питання уважності, яким часто нехтують фрілансери та початківці розробники.

Те саме стосується видалення файлів налаштувань після того, як сайт вже проінстальований на основному хостингу. Недосвідчені веб-розробники часто забувають це зробити, залишаючи серйозну уразливість веб-ресурсу.

Тільки ліцензійні плагіни

Не рекомендуємо використовувати компоненти сайту з порушенням ліцензійної угоди, оскільки вони можуть створювати додаткові уразливості.

Налаштування https-протоколу

Це протокол шифрування даних користувача, які він надсилає на сервер через різні форми. Більш докладно про перехід на HTTPS протокол читайте у цій статті.

HTTPS не дозволить перехопити ваші дані, наприклад, коли ви логінитеся в адмін-панелі.

login admin 2 Навіщо потрібна підвищена безпека сайту?

 

Обмеження доступу до адмін-панелі за ip-адресою

Додатковий захід безпеки, який ми пропонуємо нашим клієнтам. Це виключає доступ до системи управління вашого сайту, навіть за наявності логіна та пароля, якщо ip-адреса, з якої відбувається авторизація, не дозволена в системі.

Установка запиту Капча (captcha) при вході в адмін-панель

login capcha 1 Навіщо потрібна підвищена безпека сайту?

Цей захід дозволить уникнути несанкціонованого входу на ваш веб-ресурс, якщо зловмисник здійснить спробу підбору пароля до сайту тією чи іншою автоматизованою системою.

Нестандартний URL адмін-панелі

Як писав вище, головна уразливість усіх популярних платформ полягає в тому, що їхня конфігурація відома.

Наприклад, не складно дізнатися, що для входу в адмін-панель сайту на WordPress необхідно перейти на www.адрес-сайта.com/wp-login.php

Ми налаштовуємо нестандартний URL адмін-панелі – будь-яку нейтральну назву, а при запиті до /wp-login.php видає помилку 404.

Жодна система не може бути безпечною на 100%.
Але стандарти підвищеної безпеки сайту веб-студії «Бізнес сайт» значно ускладнять і здорожать вартість атаки вашого ресурсу, а також знизять імовірність її успіху.

Щоб посилити ефект заходів безпеки, обов’язково прочитайте останній абзац.

Рекомендації з безпеки для власників сайтів

  1. Придумуйте складний пароль і непередбачуваний логін. Не використовуйте логін на зразок «admin», «administrator» тощо. Оскільки це дуже передбачувано для зловмисників.
    Використовуйте слово, яке ніяк не пов’язане з вашим сайтом і бізнесом.
    А для складання складного пароля скористайтеся генератором, наприклад, цим: www.onlinepasswordgenerator.ru або вбудованим у браузер Chrome
  2. Не давайте доступи 3-м особам. Тут без коментарів.
  3. Не економте на хостингу і придбайте послуги хостингу тільки у відомих компаній з хорошою технічною підтримкою і стійкістю до DDos-атак.
  4. Робіть резервну копію сайту не рідше 1 разу на місяць. На той випадок, якщо ваш сайт все ж зламають і видалять, то ви зможете легко його відновити.
  5. Не рідше 2-х трьох разів на день заходьте на свій сайт. Це особливо важливо, якщо ви ведете активні рекламні кампанії та займаєтеся SEO-просуванням. Оскільки якщо сайт буде недоступний через злом, а ви не будете про це знати – це негативно позначиться на результатах рекламних кампаній.
  6. Замовляйте розробку сайтів у BUSINESS SITE!