Audyt bezpieczeństwa strony w 15 minut — checklist, którą zrobisz sam

W 15 minut, bez wiedzy programistycznej, sprawdzisz sześć rzeczy, które odpowiadają za większość włamań na strony małych firm: certyfikat SSL, nagłówki bezpieczeństwa, aktualizacje systemu i wtyczek, kopie zapasowe, dostęp do panelu administracyjnego i odporność formularzy. Poniżej każdy krok z darmowym narzędziem i tym, jak czytać wynik.

Większość ataków na strony firm nie jest wymierzona w Ciebie osobiście. Boty skanują internet w poszukiwaniu znanych dziur (nieaktualnej wtyczki, słabego hasła do panelu, porzuconego formularza) i atakują wszystko, co pasuje. Dlatego podstawowa higiena chroni przed zdecydowaną większością zagrożeń.

Nagłówki bezpieczeństwa: co oznaczają litery w wyniku

Nagłówki to instrukcje, które serwer wysyła przeglądarce razem ze stroną: „ładuj skrypty tylko z tych adresów”, „nie pozwalaj osadzać mnie w cudzej ramce”, „zawsze używaj HTTPS”. Ich brak nie psuje strony, ale ułatwia ataki typu wstrzyknięcie skryptu czy podszycie się pod stronę. Najważniejsze z nich:

• Strict-Transport-Security (HSTS) wymusza HTTPS przy każdej kolejnej wizycie.
• Content-Security-Policy (CSP) to lista źródeł, z których wolno ładować skrypty, style i obrazy. Najskuteczniejsza ochrona przed wstrzyknięciem kodu.
• X-Content-Type-Options blokuje „zgadywanie” typu pliku przez przeglądarkę.
• X-Frame-Options / frame-ancestors chroni przed osadzeniem strony w cudzej ramce (clickjacking).
• Referrer-Policy i Permissions-Policy ograniczają, jakie informacje i uprawnienia (kamera, lokalizacja) strona przekazuje dalej.

Drugie darmowe narzędzie, które warto znać, to Mozilla Observatory. Sprawdza podobny zestaw i podpowiada, jak poprawić konfigurację. Jeśli zamiast strony wizytówki masz panel klienta albo system z logowaniem, lista jest dłuższa: opisuję ją w tekście o bezpieczeństwie aplikacji webowych.

Kopie zapasowe: zasada 3-2-1

Kopia, której nie da się przywrócić, nie jest kopią. Bezpieczne minimum to zasada 3-2-1: trzy kopie danych, na dwóch różnych nośnikach lub usługach, z czego jedna poza głównym serwerem. Raz na kwartał warto sprawdzić, czy przywrócenie faktycznie działa, najlepiej na kopii strony, a nie na produkcji.

Co zrobić z wynikami

Słaby wynik w którymkolwiek punkcie to lista rzeczy do naprawienia, nie wyrok. Część poprawek (nagłówki, aktualizacje, logowanie dwuetapowe) zajmuje godzinę. Inne, jak brak kopii albo przestarzały system, którego nie da się zaktualizować bez rozsypania strony, wymagają więcej pracy albo decyzji o nowej stronie internetowej.

Źródła: przegląd nagłówków w projekcie OWASP Secure Headers i zasady zgłaszania naruszeń na stronie UODO.

Bezpieczeństwo a RODO

Formularz bez zabezpieczeń i serwer bez aktualizacji to nie tylko ryzyko techniczne. Jeśli dojdzie do wycieku danych klientów, musisz zgłosić naruszenie do UODO w ciągu 72 godzin. O tym, czego jeszcze wymaga RODO od strony firmowej, piszę w tekście o najczęstszych błędach RODO.

W stronach, które buduję, nagłówki bezpieczeństwa, ochrona formularzy i raport securityheaders są częścią odbioru, a nie dodatkiem. Zobacz, jak wygląda proces.

Najczęstsze pytania