Как защитить сайт?

Безопасность сайта является одним из ключевых моментов для пользователей — они доверяют проверенным сайтам и редко покупают на сомнительных. Боятся, в первую очередь, недобросовестности интернет-магазина или предоставляющей услуги компании, а также мошенничества с платежными данными. Именно поэтому многие предпочитают платить курьеру при получении товара, чем вводить номер карточки и другую информацию на сайте.

 

Работу с безопасностью сайта можно разделить на два этапа:

• до запуска сайта (проверка и настройка всех основных компонентов, отвечающих за безопасный сбор и обработку данных)
• после его запуска (текущие проверки на уязвимость вплоть до работы с внешними агентствами, занимающимися сертификацией интернет-магазинов и кибербезопасностью)

 

Работа над безопасностью сайта до его запуска

Надежные пароли

Используйте сложные пароли для входа в панель управления вашим сайтом и другие его компоненты. Это вполне очевидный совет, но соблюдается он далеко не всеми. Если доступ к внутренней части сайта настраивает программист или системный администратор, скорее всего он создаст для вас простейший пароль, ожидая, что вы его смените в скором будущем. Если вы этого не сделаете, у вашего сайта больше шансов быть взломанным.

 

Обновление систем и компонентов

Конструкторы сайтов обновляются автоматически, но если вы используете бесплатные и доступные для редактирования платформы (большинство CMS) и баз данных именно такими и являются), вам необходимо обновлять программное обеспечение регулярно, чтобы избежать уязвимости отдельных компонентов.

 

Ограничение доступа к сайту

Существуют многочисленные способы настройки доступа к сайту или его отдельным файлам. Это касается не только запрета на просмотр или редактирование конкретных элементов, но и ограничения по IP-адресу — как запрет конкретных адресов, так и разрешение доступа, например, в рамках компании.

За такие настройки отвечает системный файл под названием .htaccess, который можно конфигурировать под разные нужды, включая безопасность сайта. Его настройке посвящены многочисленные статьи (например, данная), но если вы никогда с этим раньше не сталкивались, лучше всего обратиться к вашему системному администратору или команде, отвечающей за разработку вашего сайта.

Если ваш сайт работает на CMS, вы также можете избежать ручной настройки безопасности за счет использования авторизованных плагинов. Для WordPress одним из самых популярных является плагин iTheme Security, доступный в платной и бесплатной версиях.

 

SSL-сертификат

Если ваш сайт содержит хотя бы одну форму сбора данных, такую как регистрационный формуляр или контактную форму, вам необходим способ защиты передачи этих данных. Именно это обеспечивает SSL-сертификат.

Он является подтверждением того, что для передачи данных на сайте используется шифрование, обеспечивающее безопасную связь. Адреса сайтов, использующих SSL, начинаются на https:// вместо привычного http://. Например, https://vk.com.

Как узнать, есть ли на вашем сайте данный сертификат?

На защищенных сайтах вы найдете иконку в форме замочка слева от названия сайта в адресной строке. Он может быть как серым, так и зеленым, иногда даже с указанием названия компании в адресной строке. Такие детали указывают на то, что уровень шифрования данных наиболее высокий, соответственно сохранность пользовательских данных важна для компании.

Не все хостинг-провайдеры позволяют установить SSL на сайт. Если ваш провайдер этого не предлагает, оцените возможность переноса своего сайта на другой хостинг.

Как получить SSL-сертификат?

SSL можно купить, причем легче всего это сделать, обратившись к своему хостинг-провайдеру. Его можно установить на уже существующий сайт или приобрести вместе с хостингом и доменом. Например, всемирно известный хостинг-сервис GoDaddy предлагает приобрести SSL вместе с покупкой нового хостингового плана.

Сколько стоит SSL-сертификат?

Стоимость сертификата варьируется в зависимости от некоторых параметров, включая следующие:

• Тип проверки компании, покупающей SSL, на подлинность и легальность коммерческих операций
• Уровень шифрования (степень безопасности пользовательских данных)
• Наличие защиты для субдоменов
• Размер финансовых гарантий пользователям сайта на случай утечки их личных или платежных данных
• Наличие знаков доверия, выдаваемых центром сертификации SSL.

Сертификаты продаются на срок от 1 года. Стоимость зачастую составляет от 1 000 до 10 000 рублей для информационных сайтов и интернет-магазинов. Выдача SSL-сертификатов финансовым и страховым организациям значительно дороже и обычно начинается от нескольких десятков тысяч рублей.

 

Проверка сайта сертифицированными системами

Web of Trust (WOT), Norton Web Security и некоторые другие системы сканирования страниц в интернете позволяют проверить безопасность сайта. Помимо доверия пользователей ваш сайт получает также бонусы от поисковых систем, так как безопасность в какой-то мере влияет на рейтинги в поисковой выдаче в Google и Яндексе.

 

Работа над безопасностью сайта после его запуска

Ограничение доступа удаленным и бывшим сотрудникам

Не давайте сторонним дизайнерам и разработчикам полный доступ к системе вашего сайта кроме ситуаций, когда этого невозможно избежать. После окончания сотрудничества с фрилансерами деактивируйте их учетные записи и доступы.

Тоже самое касается увольнение сотрудников — некоторые могут потенциально навредить вашему бизнесу, поэтому убедитесь, что у них нет доступа не только к рабочим материалам, но и компонентам системы, на которой основывается ваш сайт или приложение.

 

Запрет на загрузку файлов пользователями

При отправке запросов или заказов, а также заполнении контактных форм пользователи не должны иметь возможность загружать файлы какого-либо формата или размера. Это необходимо продумать еще до того, как сайт появится в сети.

Исключением являются некоторые бизнес-модели, когда компания выполняет работу по индивидуальному заказу клиента — проектирует по чертежам, шьет по выкройкам и т.п. В таких случаях все же стоит для начала хотя бы виртуально познакомиться с клиентом, прежде чем дать доступ к загрузке файлов, или попросить отправить их по электронной почте — многие email-провайдеры сканируют получаемые файлы на вредоносность перед предоставлением их получателю.

Если вы запускаете конкурс, целью которого является загрузка и оценка работ клиентов (наиболее уместно для детских товаров и фирм креативного направления), лучше всего используйте социальные сети — это не только обезопасит ваш сайт, но и потенциально увеличит вашу аудиторию за счет распространения информации о вашем конкурсе.

 

Доступ к сайту или его ключевых компонентам из публичных WiFi-сетей

Вероятно, вы не раз слышали, что использование неизвестных точек с бесплатным интернетом может способствовать распространению вредоносных программ на вашем компьютере или смартфоне, а также может помогать злоумышленникам получать доступ к вашим личным данным и файлам на используемом устройстве. Даже если исключить риск заражения системы управления вашим сайтом, вы можете все равно столкнуться с ситуацией, когда ваши рабочие файлы несанкционированно попадут в руки третьих лиц.

Помните, что люди более уверенно пользуются сайтами с приятным внешнем видом и исправной функциональностью. Подсознательно они отдают меньше предпочтения устаревшим и медленным сайтам. Это один их тех случаев, когда безопасность сайта соприкасается с его проектированием и дизайном.