Webbplatsens säkerhet på en kväll: 10 steg du kan kontrollera själv

Små webbplatser hackas sällan av någon som är ute efter just dig. Det är botar som dagarna i ända provar samma svaga punkter: korta lösenord, gamla versioner, en adminpanel på standardadressen, öppen registrering. Täpp till de punkterna så slutar din webbplats vara ett lätt mål. Nedan följer tio steg för en kväll. Varje steg har tre rader: vad du ska göra, hur du själv kontrollerar det (en skärm eller ett kommando) och vad som händer om du hoppar över det.

Det här är ingen ”klicka på allt”-lista: stegen är oberoende av varandra, ta dem ett i taget. En del av arbetet gör motorn själv: den skickar till exempel säkerhetshuvudena till webbläsaren (steg 5), så det enda du behöver göra är att se till att de kommer fram.

Din kontrollpanel: ”Webbplatsskydd” #

Öppna ”System → Säkerhet → Webbplatsskydd”. Det är en enda skärm som visar vad som är bra, vad som är värt att skärpa och vad som är dåligt. Varje rad förklarar sig själv och leder till platsen där det åtgärdas. Nästan varje steg nedan kontrolleras av en rad på den här skärmen.

Det är en fingervisning, inte en dom: siffrorna räknas fram i stunden ur din webbplats data.

Steg 1. Uppdateringar #

Vad du gör. Öppna ”System → Uppdateringar” (sidan syns för dem som har behörighet till webbplatsinställningarna: ägaren och administratörerna) och uppdatera om det finns en ny version. Gör en säkerhetskopia av databasen före uppdateringen (steg 8): motorn gör en av sig själv, men en manuell kopia kostar ingenting. Så kontrollerar du. Samma sida visar vilken version du har och om det finns en ny. Titta där en gång i veckan, när du ändå kollar beställningar eller e-post. Om du hoppar över det. Hål som redan är tilltäppta i den nya versionen förblir öppna på din webbplats, och alla känner till dem: en rättning publiceras tillsammans med en beskrivning av felet.

Steg 2. Lösenord och lösenordsgissning #

Vad du gör. I ”Webbplatsinställningar → Inloggning och användare → Registrering och användare” ställer du ”Minsta lösenordslängd” på 10 tecken eller mer (det är standard). Längden räddar dig inte ensam, men motorn avvisar uppenbara lösenord separat. Kontrollera sedan i ”Säkerhet → Inloggning och sessioner” att ”Inloggningsförsök” inte är fler än tio. Som standard är det fem misslyckanden, varefter inloggning till det kontot stängs i 15 minuter (tiden ställs in i ”Lås i, minuter”), och en bot slår i taket. Så kontrollerar du. På skärmen ”Webbplatsskydd” ska raderna ”Lösenordslängd” och ”Spärr efter misslyckade inloggningar” visa ”Bra”. Om du hoppar över det. Korta lösenord och obegränsat antal försök gör gissning till en fråga om tid. Det är det enklaste sättet att ta sig in, och två siffror stänger det.

Steg 3. Tvåstegsinloggning #

Vad du gör. Slå på det andra steget i din egen profil (”Aktivera tvåstegsverifiering”): en kod från en app i telefonen bekräftar inloggningen. Spara ”Reservkoder”: var och en fungerar en gång, och du behöver dem om du tappar bort telefonen. Be sedan alla administratörer om samma sak. När alla har vant sig, byt i ”Webbplatsinställningar → Inloggning och användare → Säkerhet → Åtkomst till panelen” ”Tvåfaktorsskydd” från ”Rekommendera” till ”Kräv för administratörer”. Du blir inte utelåst: motorn skickar alla som ännu saknar ett andra steg till sin profil för att slå på det, och profilen är alltid tillgänglig. Det finns alltså inget att vara rädd för. Så kontrollerar du. Raden ”Tvåstegsinloggning för administratörer” på skärmen ”Webbplatsskydd”; listan ”Användare” har filtret ”Tvåstegsverifiering” som visar vem som fortfarande har det avstängt. Om du hoppar över det. Ett lösenord kan stjälas inte från dig utan från någon annan tjänst där du använt samma lösenord. Utan det andra steget står då vägen in i panelen öppen.

Steg 4. Krypterad anslutning (HTTPS) #

Vad du gör. Kontrollera att webbplatsen har ett certifikat och öppnas via https://. Först då slår du på ”Endast säker anslutning (https)” i ”Webbplatsinställningar → Inloggning och användare → Säkerhet → Anslutning”. Slå inte på det utan certifikat: omdirigeringen skulle skicka besökarna ingenstans. Så kontrollerar du. Öppna webbplatsen på en adress som börjar med http://: webbläsaren ska gå över till https://. Samma sak på kommandoraden:

curl -I http://example.com

Förvänta dig kod 301 eller 302 och en rad Location: https://example.com/. Raden ”Krypterad anslutning (HTTPS)” på skärmen ”Webbplatsskydd” ska visa ”Bra”. Om du hoppar över det. Lösenord och sessioner färdas i klartext: i någon annans publika nätverk kan en främling läsa dem.

Steg 5. Säkerhetshuvuden #

Vad du gör. Nästan ingenting: motorn skickar dem själv. Din uppgift är att se till att en proxy eller ett webbhotell framför webbplatsen inte tar bort dem. Så kontrollerar du.

curl -I https://example.com

Svaret ska innehålla de här raderna:

• X-Content-Type-Options: nosniff: webbläsaren gissar inte en fils typ;
• X-Frame-Options: SAMEORIGIN (på vissa sidor DENY) och, i Content-Security-Policy, frame-ancestors 'self': en annan webbplats kan inte lägga din sida i en ram;
• Referrer-Policy: strict-origin-when-cross-origin: överflödiga delar av adressen lämnar inte webbplatsen;
• Permissions-Policy: kamera, mikrofon och geolokalisering är avstängda tills de behövs;
• Strict-Transport-Security: max-age=31536000 via https: webbläsaren kommer ihåg att bara använda den säkra anslutningen.

Du kan också se ett betyg i den publika kontrollen Mozilla Observatory (developer.mozilla.org/en-US/observatory). Jaga inte toppbetyget: den ser varken föråldrad programvara eller svaga lösenord, och den ersätter inte en kontroll. Om du hoppar över det. Ingenting går sönder direkt: de här huvudena talar bara om för webbläsaren vad den ska förbjuda. Men ju fler de är, desto färre misstag på andra ställen blir ett problem.

Steg 6. Panelens adress och åtkomst per adress #

Vad du gör. I ”Webbplatsinställningar → Inloggning och användare → Säkerhet → Åtkomst till panelen” anger du en ”Egen adress till panelen” (latinska bokstäver, siffror, bindestreck); hitta på en egen, kopiera inte exemplet i bilden nedan. Skriv upp den bredvid ditt lösenord. Fältet ”Tillåt adminpanelen endast från dessa adresser” är bara för dem som har en fast adress (till exempel ett kontor med egen adress): från andra adresser svarar panelen ”sidan finns inte”. En adress hemma eller i mobilen ändras oftast, och då står du själv utanför dörren: en lista utan din nuvarande adress går inte att spara, men i morgon kan adressen vara en annan. Utan panelen kan begränsningen bara tas bort med kommandot php nex1on admin:access på servern. Utan åtkomst till serverns konsol och utan fast adress är det bättre att inte slå på det här fältet.

Så kontrollerar du. Öppna den nya adressen: inloggningen ska öppnas. Den gamla /admin ska svara ”sidan finns inte” (404). Raderna ”Adress till adminpanelen” och ”Åtkomst till panelen per adress” på skärmen ”Webbplatsskydd” visar det.
Om du hoppar över det. Inget farligt händer, men botar hittar panelen på standardadressen först, och bruset i loggen växer. En egen adress ersätter inte lösenordet och tvåstegsinloggningen, den tar dig bara bort från listan över lätta mål.

Steg 7. Vem som får göra vad och vem som registrerar sig #

Vad du gör. Öppna ”Användare och åtkomst → Användare” och se vem som har vilken roll. Administratör ska vara den som behöver det varje dag; en redaktör klarar sig med redaktörsrollen. Om du inte behöver besöksregistrering, stäng av ”Tillåt registrering” i ”Webbplatsinställningar → Inloggning och användare → Registrering och användare”; om du behöver den, låt ”Kräv bekräftelse av e-post” vara påslaget. Så kontrollerar du. Listan ”Användare” och varje persons roll; raden ”Registrering av besökare” på skärmen ”Webbplatsskydd”. Om du hoppar över det. Överflödiga behörigheter gör någon annans misstag eller ett stulet lösenord till ett stort problem. Öppen registrering utan bekräftelse av e-post låter vem som helst skapa konton med andras adresser.

Steg 8. Kopior: databasen och utanför webbplatsen #

Vad du gör. Gör en databaskopia i ”System → Kopior och flytt → Säkerhetskopior av databasen” och ställ in en automatisk. Ställ in ”Kopior på annan plats” (en krypterad kopia utanför servern): försvinner webbhotellet, försvinner en kopia bredvid webbplatsen också. Mer om säkerhetskopior och flytt: ”Säkerhetskopior och flytt av en Nex1on-webbplats”. Uppladdningsmappen kopieras separat (via FTP): den ingår inte i en databaskopia. Så kontrollerar du. Listan ”Befintliga säkerhetskopior” ska ha en färsk kopia. För kopian på annan plats, tryck på ”Testa anslutningen”, och när den första kopian har kommit fram, öppna den på din dator och kryssa i ”Jag öppnade en kopia på min dator och nyckeln fungerar”. Om du hoppar över det. Det här är det enda steget där ett misstag inte kan rättas till i efterhand: förlorade inlägg och beställningar går inte att få tillbaka med någonting.

Steg 9. Spam och API-nycklar #

Vad du gör. Behåll det strikta läget (standard) i ”Säkerhet → Spamvakt”. Återkalla i ”Integrationer → Åtkomstnycklar (API)” nycklar som ingen använder: en nyckel som behövs kan utfärdas igen, medan en bortglömd förblir en dörr. Så kontrollerar du. Raderna ”Spamvakt” och ”API-nycklar” på skärmen ”Webbplatsskydd”: den andra påminner om nycklar som inte använts på mer än 90 dagar. Om du hoppar över det. Spam fyller dina formulär, och en bortglömd nyckel kan i åratal förbli en åtkomst som alla har glömt.

Steg 10. Två minuter i veckan #

Vad du gör. Öppna ”Webbplatsskydd” och ”Säkerhet → Säkerhetshändelser” en gång i veckan. Det tar två minuter: du behöver inte läsa loggen, det räcker att se att raderna är gröna och att misslyckade inloggningar inte har blivit märkbart vanligare. Så kontrollerar du. Raden ”Misslyckade inloggningar per dygn”: ”Bra” så länge de är färre än trettio. Många inloggningar från en adress kan blockeras i ”Säkerhet → Blockering av adresser”. Om du hoppar över det. Du får veta om ett problem från besökarna i stället för från webbplatsen.

Vad den här listan inte gör #

Den minskar risken, den tar inte bort den helt. Den skyddar dig inte mot ett fel i en tredjepartsmodul eller i webbhotellets programvara, och den ersätter inte en säkerhetskopia. Om du är osäker, rådfråga en specialist, särskilt när webbplatsen lagrar betalningar eller andras personuppgifter.