Sokan azt gondolják, hogy a hackerek csak a nagy cégeket és a bankokat támadják, egy kis magyar vállalkozás vagy blog senkit sem érdekel. Ez az egyik legveszélyesebb tévhit az interneten. A valóság az, hogy a támadások túlnyomó része nem célzott: automata robotok pásztázzák éjjel-nappal az internetet, és minden gyenge pontot megpróbálnak kihasználni, teljesen függetlenül attól, hogy mekkora vagy mennyire ismert az adott oldal.

A weboldal biztonság mindazoknak az intézkedéseknek az összessége, amelyek megvédik a weboldaladat a támadásoktól, a kártékony kódtól, az adatlopástól és a leállásoktól. Nem egyetlen beállítás, hanem egy folyamatosan karbantartott védelmi rendszer, amely több rétegből épül fel. Olyan ez, mint egy ház védelme: nem elég csak az ajtót bezárni, ha az ablakok tárva-nyitva állnak.

Ebben az útmutatóban közérthetően, kezdőbarát módon vesszük végig, hogy milyen veszélyek fenyegetik ma egy weboldalt, milyen konkrét lépésekkel védheted meg, és mit tehetsz, ha mégis baj történik. A cél, hogy a végére pontosan tudd, hol állsz, és mit érdemes lépned ahhoz, hogy nyugodtan aludj.

Miért olyan fontos a weboldal biztonság?

Egy feltört vagy sérülékeny weboldal messze nem csak technikai probléma. A következményei nagyon is valóságosak, és sokszor komoly anyagi és jó hírnévbeli kárt okoznak.

A bizalom elvesztése

Ha egy látogató „nem biztonságos” figyelmeztetést lát, vagy éppen egy feltört, kártékony kódot tartalmazó oldalra téved, azonnal elveszíti a bizalmát. A bizalom pedig az online jelenlét legfontosabb valutája: nehéz felépíteni, és egy pillanat alatt el lehet veszíteni. Egy biztonsági incidens után sok látogató soha nem tér vissza.

Anyagi és adatvédelmi kockázat

Egy támadás során ellophatják az ügyfeleid adatait, a bankkártyaadatokat vagy a bejelentkezési információkat. Ez nem csak neked okoz kárt, hanem jogi és adatvédelmi következményekkel is járhat. Egy webshop esetében ráadásul minden leállással óráról órára veszíted a bevételt, miközben a helyreállítás komoly költséget jelenthet.

SEO és láthatóság

A Google aktívan bünteti a nem biztonságos oldalakat. Ha egy oldalt feltörnek és kártékony kódot juttatnak rá, a kereső feketelistára teheti, és a látogatókat piros figyelmeztető képernyő fogadja. Ilyenkor a keresési láthatóság gyakorlatilag nullára esik, a visszaépülés pedig hetekbe telhet. A biztonság tehát közvetlenül összefügg azzal, hogy egyáltalán megtalálnak-e a keresőben.

A leggyakoribb fenyegetések a weboldalak ellen

Ahhoz, hogy hatékonyan védekezz, először értened kell, mi ellen. Nézzük a leggyakoribb veszélyeket, közérthetően elmagyarázva. Az iparági standardnak számító OWASP Top Ten lista rendszeresen összegyűjti a legkritikusabb webes biztonsági kockázatokat, és jó kiindulópont a téma megismeréséhez.

Kártékony kód és feltörés

A leggyakoribb forgatókönyv, hogy egy támadó egy elavult szoftver résén keresztül jut be, és kártékony kódot helyez el az oldaladon. Ez a kód sokféle célt szolgálhat: átirányíthatja a látogatókat idegen oldalakra, spam levelek küldésére használhatja a szervert, vagy fertőzheti a látogatók gépét. A baj gyakran hetekig észrevétlen marad, miközben az oldalad tudtodon kívül kárt okoz.

Brute force, avagy a jelszó kitalálása

A brute force támadás során a robotok automatikusan, másodpercenként több száz kombinációt próbálgatva igyekeznek kitalálni a bejelentkezési jelszavadat. Ha gyenge, rövid vagy gyakran használt jelszavad van, ez ijesztően gyorsan sikerülhet. Éppen ezért az erős jelszó és a kétlépcsős azonosítás az egyik legfontosabb védelmi vonal.

Adathalászat (phishing)

Az adathalászat során a támadók megtévesztő e-mailekkel vagy hamis oldalakkal próbálják kicsalni a bejelentkezési adataidat. Egy jól megszerkesztett hamis levél könnyen elhitetheti veled, hogy a tárhelyszolgáltatódtól vagy egy hivatalos szolgáltatótól érkezett. Az emberi figyelmetlenség sajnos az egyik legkönnyebben kihasználható rés.

Sérülékenységek a kódban

A haladóbb támadások a weboldal kódjának hibáit használják ki. Ilyen például, amikor egy támadó egy űrlapon keresztül olyan parancsot juttat be, amelyet a rendszer véletlenül végrehajt, és így hozzáfér az adatbázishoz vagy idegen tartalmat jelenít meg. Ezek a technikai jellegű rések főleg akkor veszélyesek, ha a szoftvereid elavultak, vagy ha egy rosszul megírt bővítményt használsz.

Hogyan védd meg a weboldalad? A legfontosabb lépések

A jó hír, hogy a támadások túlnyomó többsége néhány alapvető óvintézkedéssel megelőzhető. Nem kell hozzá programozónak lenned, csak következetesnek. Nézzük a legfontosabb védelmi rétegeket.

1. Titkosított kapcsolat (SSL és HTTPS)

Az első és megkerülhetetlen lépés az SSL tanúsítvány használata, amely titkosítja a látogató böngészője és a szerver közötti adatforgalmat. Ettől lesz a webcím elején a „https” és a lakat ikon, és enélkül a böngészők „nem biztonságos” felirattal riasztják el a látogatókat. Ha még nem tiszta, pontosan hogyan működik ez a technológia, olvasd el az SSL tanúsítványról szóló részletes bejegyzésünket. Ma már egyetlen komoly weboldal sem működhet érvényes tanúsítvány nélkül.

2. Rendszeres frissítések

A feltörések döntő többsége elavult szoftver miatt következik be. A weboldalad motorja, a sablonok és a bővítmények fejlesztői folyamatosan adnak ki biztonsági javításokat, amelyek bezárják a felfedezett réseket. Ha ezeket nem telepíted, gyakorlatilag nyitva hagyod az ajtót. A frissítést mindig érdemes biztonsági mentés után elvégezni, hiszen néha meglepetést okozhat. Erről bővebben a WordPress frissítéséről szóló útmutatónkban olvashatsz. A rendszeresség itt kulcsfontosságú: egy hónapok óta nem frissített oldal komoly kockázatot hordoz.

3. Erős jelszavak és kétlépcsős azonosítás

Egy erős jelszó hosszú, egyedi, és nem tartalmaz könnyen kitalálható elemeket. Soha ne használd ugyanazt a jelszót több helyen, és kerüld a „admin123″ jellegű klasszikusokat. A védelmet nagyságrendekkel növeli a kétlépcsős azonosítás (2FA), amelynek használatakor a jelszó mellett egy második, egyszer használatos kódra is szükség van a belépéshez. Így akkor sem tudnak bejutni, ha a jelszavad valahogy kiszivárgott.

4. Rendszeres biztonsági mentés

A biztonsági mentés nem közvetlenül megelőzi a támadást, de ez a mentőöved, ha mégis baj történne. Egy friss, működő mentésből az oldalad percek alatt visszaállítható egy feltörés vagy hibás frissítés után. A jó mentés automatikus, rendszeres, és a szervertől külön helyen tárolt. A mentés és a rendszeres ellenőrzés egyébként is a felelős üzemeltetés alapja, ahogy azt a WordPress karbantartásáról szóló útmutatónkban részletesen bemutatjuk.

5. Tűzfal és kártevőkeresés

Egy webalkalmazás-tűzfal (WAF) képes még a szerver elérése előtt kiszűrni a gyanús forgalmat és a támadási kísérleteket. Emellett érdemes olyan megoldást használni, amely rendszeresen átvizsgálja az oldalt kártékony kód után, és riaszt, ha valami gyanúsat talál. Ezek a biztonsági eszközök általában bővítmény formájában is elérhetők, és jelentősen megemelik a védelem szintjét.

6. Megfelelő jogosultságok és megbízható tárhely

Csak annyi hozzáférést adj a felhasználóknak, amennyire tényleg szükségük van, és rendszeresen nézd át, kinek van adminjogosultsága. A megbízható tárhely szintén a biztonság része: egy komoly szolgáltató saját szinten is véd a támadások ellen, és gyorsan reagál, ha probléma adódik. Az olcsó, túlterhelt tárhely nem csak lassú, hanem sokszor sérülékenyebb is.

7. Az emberi tényező

A legjobb technikai védelem is keveset ér, ha az emberi oldal sérülékeny. A támadások jelentős része ugyanis nem a rendszer hibáját, hanem a figyelmetlenséget használja ki: egy meggondolatlan kattintás egy hamis levélben, egy jelszó, amit véletlenül egy megtévesztő oldalon adsz meg, vagy egy kolléga, aki nem elég óvatos. Éppen ezért fontos, hogy mindenki, aki hozzáfér az oldalhoz, tisztában legyen az alapokkal: ne kattintson gyanús linkekre, ne adja meg máshol a bejelentkezési adatait, és mindig ellenőrizze, valóban hivatalos forrásból érkezett-e egy kérés. A tudatosság a legolcsóbb és mégis az egyik leghatékonyabb védelmi eszköz, amellyel rendelkezel.

Mit tegyél, ha mégis feltörték az oldaladat?

Bármennyire is óvatos vagy, a nulla kockázat nem létezik. Ha feltörés gyanúja merül fel, a legfontosabb, hogy ne ess pánikba, és módszeresen járj el. Az első lépés, hogy azonnal változtasd meg az összes jelszót: az adminfelületét, a tárhelyét és az adatbázisét egyaránt.

Ezután érdemes az oldalt egy fertőzés előtti biztonsági mentésből visszaállítani, mert így egyetlen lépésben megszabadulsz a támadó által elhelyezett kódtól. A visszaállítás után frissíts mindent a legújabb verzióra, hogy a támadó ne tudjon ugyanazon a résen újra bejutni. Ha bizonytalan vagy a folyamatban, vagy nem találod a fertőzés forrását, mindenképpen kérj szakmai segítséget, mert egy félig megtisztított oldal ugyanolyan veszélyes, mint egy teljesen fertőzött.

Végül tanulj az esetből: nézd meg, min keresztül jutottak be, és zárd be azt a rést véglegesen. A legtöbb ismételt feltörés éppen azért történik, mert az eredeti gyenge pont megmarad.

Röviden a lényeg

A weboldal biztonság nem egyszeri feladat, hanem egy folyamatosan karbantartott, több rétegből álló védelmi rendszer. A támadások nagy része automatikus és válogatás nélküli, ezért téged is érinthet, mérettől és ismertségtől függetlenül. A jó hír, hogy néhány következetes alapintézkedéssel a fenyegetések túlnyomó része megelőzhető.

A legfontosabb pillérek: az érvényes SSL tanúsítvány, a rendszeres szoftverfrissítés, az erős jelszó kétlépcsős azonosítással, a rendszeres biztonsági mentés, egy megbízható tűzfal és kártevőkeresés, valamint a megfelelő jogosultságok és a stabil tárhely. Aki ezeket komolyan veszi, az nem csak a hackerek, hanem a saját nyugalmának is a legnagyobb szolgálatot teszi. A biztonság a mai internetes jelenlét alapfeltétele, nem pedig extra, amivel ráérünk később foglalkozni.

GYIK – Gyakori kérdések a weboldal biztonságról

Az én kis weboldalamat tényleg megtámadhatják?

Igen, méghozzá bármikor. A támadások nagy része nem célzott, hanem automata robotok végzik, amelyek válogatás nélkül keresik a sérülékeny oldalakat. Számukra teljesen mindegy, hogy egy nagy céget vagy egy kis blogot találnak meg, csak a gyenge pont számít. Éppen ezért a méret vagy az ismertség nem véd meg: a biztonsági alapokra minden weboldalnak szüksége van.

Elég, ha van SSL tanúsítványom?

Az SSL tanúsítvány fontos és kötelező alaplépés, de önmagában nem elég. A titkosítás a látogató és a szerver közötti adatforgalmat védi, de nem óv meg az elavult szoftverek réseitől, a gyenge jelszavaktól vagy a kártékony kódtól. A valódi védelem több rétegből áll: az SSL mellett rendszeres frissítésre, erős jelszóra, mentésre és tűzfalra is szükség van.

Milyen gyakran foglalkozzak a weboldal biztonságával?

A biztonság folyamatos feladat, nem egyszeri beállítás. A biztonsági frissítéseket a lehető leghamarabb telepítsd, a mentések rendben lefutását pedig rendszeresen, jellemzően hetente ellenőrizd. Emellett érdemes időnként átnézni, kinek van hozzáférése az oldalhoz, és futtatni egy kártevőkeresést. A rendszeresség itt a legfontosabb: a folyamatos, kis odafigyelés sokkal olcsóbb, mint egy feltörés utáni helyreállítás.