בוקר אחד, מנהלת משרד תיווך פתחה את האתר שלה וגילתה שהוא מפנה לאתר הימורים בטורקית. גוגל כבר הספיק לסמן אותו כ”אתר שעלול להזיק למחשב”, והטלפונים מלקוחות מודאגים לא הפסיקו.
מה שהכי הטריד אותה: “מי בכלל טרח לפרוץ לאתר של משרד תיווך קטן?”
התשובה: אף אחד לא טרח. וזה בדיוק העניין.
הפריצה היא לא אישית
את רוב האתרים הקטנים לא פורץ האקר עם קפוצ’ון שבחר אתכם. פורצים אותם רובוטים: תוכנות שסורקות מיליוני אתרים ביום ומחפשות דלתות ידועות שנשארו פתוחות, בעיקר גרסאות ישנות של תוספים ומערכות עם חורי אבטחה מפורסמים.
למה זה משתלם להם? אתר פרוץ הוא נכס: מפיצים דרכו ספאם, מקימים בו דפי פישינג מזויפים של בנקים, שותלים קישורים. העסק שלכם לא מעניין אותם; הכתובת הנקייה שלכם כן.
המסקנה האופטימית: אם הפריצות הן אוטומטיות וגנריות, גם ההגנה יכולה להיות פשוטה וגנרית. חמש שכבות, רובן חד-פעמיות.
שכבה 1: HTTPS. המנעול הבסיסי
אם ליד הכתובת שלכם אין מנעול, יש לכם בעיה כפולה: דפדפנים מפחידים את הגולשים עם “לא מאובטח”, וגוגל מעניש בדירוג. תעודת SSL היא היום חינמית ומובנית בכל אחסון סביר. אין לכם? שיחה אחת לאחסון פותרת. יש לכם? עברו לשכבה הבאה.
שכבה 2: עדכונים. הדלת שנשארת נעולה
באתרי וורדפרס, זו נקודת התורפה מספר אחת: תוסף ישן עם חור אבטחה ידוע הוא הזמנה פתוחה לרובוטים. שני כללים: מחקו כל תוסף שלא בשימוש (כיבוי לא מספיק), והגדירו עדכונים אוטומטיים או תזכורת חודשית קבועה. אין לכם מי שיעשה את זה? זה בדיוק השירות שכדאי לקנות, כמו שדיברנו על עלויות התחזוקה.
שכבה 3: סיסמאות וכניסה
הרובוטים מנחשים סיסמאות במיליונים. שלושה צעדים חד-פעמיים: סיסמה ארוכה וייחודית לניהול האתר (מנהל סיסמאות עוזר), שם משתמש שאינו admin, ואימות דו-שלבי אם המערכת תומכת. חמש דקות עבודה, חוסם את רוב ניסיונות הכניסה בכוח.
שכבה 4: גיבויים. רשת הביטחון
גם עם הכל נעול, דברים קורים. ההבדל בין תקלה מעצבנת לאסון עסקי הוא גיבוי: אוטומטי (לא “כשאזכר”), יומי או שבועי, ושמור מחוץ לשרת של האתר עצמו (גיבוי שיושב על שרת שנפרץ נפרץ יחד איתו). ופעם בחצי שנה, בדקו שאפשר באמת לשחזר ממנו. גיבוי שלא נבדק הוא תקווה, לא תוכנית.
שכבה 5: תשתית שאין בה מה לפרוץ
וכאן ההזדמנות לחשוב אחרת: כל השכבות למעלה נחוצות כי לאתר דינמי יש מה לתקוף: מערכת ניהול, מסד נתונים, תוספים. לאתר סטטי מודרני אין כלום מזה. אין דף התחברות לנחש, אין תוספים שמתיישנים, אין מסד נתונים לגנוב. קבצים סטטיים על רשת שרתים עולמית.
זו הסיבה שלאתרים שאנחנו בונים אין בכלל “רשימת משימות אבטחה חודשית”. אין מה לעדכן, כי אין מה לפרוץ.
לסיכום
אבטחת אתר של עסק קטן היא לא פרנויה ולא פרויקט ענק: זה לוודא שהדלת נעולה בעולם שבו רובוטים מנסים את כל הידיות. HTTPS, עדכונים, סיסמה רצינית, גיבוי חיצוני, ואם אתם בונים אתר חדש, שקלו תשתית סטטית שמורידה את כל הנושא מסדר היום. שעתיים של סידור היום חוסכות את הבוקר ההוא עם האתר בטורקית.
רוצים לדעת כמה האתר שלכם חשוף, או לשמוע על אתר שאין בו מה לפרוץ? דברו איתנו ↗