چک‌لیست امنیتی برای ویب‌سایت کسب‌وکارهای کوچک
هفت قدم عملی که رایج‌ترین ضعف‌ها را می‌بندد، بدون بودجهٔ زیاد.
بسیاری از حمله‌ها بر ویب‌سایت‌های کسب‌وکارهای کوچک شخصی نیستند. ابزارهای خودکار شب و روز انترنت را جستجو می‌کنند تا ضعف‌های رایج را پیدا کنند: نرم‌افزارهای کهنه، رمزهای ضعیف و حساب‌های مدیریتی فراموش‌شده. خبر خوب این است که چند اقدام ساده بیشتر این ضعف‌ها را می‌بندد.
۱. همه‌جا از HTTPS استفاده کنید
HTTPS ارتباط میان بازدیدکنندگان و ویب‌سایت شما را رمزگذاری می‌کند. از معلومات فورم‌ها و رمزها محافظت می‌کند و مرورگرها سایت‌های بدون آن را «ناامن» نشان می‌دهند. گواهی آن با Let’s Encrypt رایگان است و بیشتر شرکت‌های هاستینگ آن را با چند کلیک نصب می‌کنند.
- هر آدرس
http://را بهhttps://انتقال دهید. - HSTS را فعال کنید تا مرورگرها همیشه نسخهٔ امن را باز کنند.
۲. همه چیز را به‌روز نگه دارید
بیشتر حمله‌های موفق از ضعف‌های شناخته‌شده‌ای استفاده می‌کنند که از قبل اصلاح شده‌اند. به‌روزرسانی‌ها این راه‌ها را می‌بندند.
- CMS، افزونه‌ها و قالب‌های آن را به‌محض نشر یک به‌روزرسانی امنیتی، به‌روز کنید.
- افزونه‌ها و قالب‌هایی را که استفاده نمی‌کنید حذف کنید: هر بخش اضافه، یک چیز دیگر برای نگهداری است.
- از شرکت هاستینگ خود بپرسید که از کدام نسخه‌های نرم‌افزار سرور استفاده می‌کند.
۳. از هر حساب محافظت کنید
امنیت ویب‌سایت شما به اندازهٔ امنیت حساب‌هایی است که آن را کنترول می‌کنند: هاستینگ، نام دامنه، ایمیل و بخش مدیریت ویب‌سایت.
- برای هر حساب یک رمز طولانی و جداگانه بگذارید و آن را در یک برنامهٔ مدیریت رمز نگه دارید.
- هر جا ممکن است، تأیید دومرحله‌ای را فعال کنید؛ اول برای ایمیل و هاستینگ.
- حساب کسانی را که دیگر با شما کار نمی‌کنند حذف کنید.
۴. پشتیبان بگیرید و بازیابی را آزمایش کنید
پشتیبانی که هرگز آن را برنگردانده‌اید، فقط یک امید است، نه یک برنامه. پشتیبان‌گیری منظم و خودکار داشته باشید که بیرون از حساب هاستینگ شما نگهداری شود.
- از قاعدهٔ ۳-۲-۱ پیروی کنید: سه نسخه از معلومات، روی دو نوع حافظهٔ مختلف، که یکی از آن‌ها در جای دیگری باشد.
- چند نسخهٔ قدیمی‌تر را نگه دارید تا بتوانید به تاریخی پیش از شروع مشکل برگردید.
- حداقل سالی یک یا دو بار یک بازیابی کامل را آزمایش کنید.
۵. هدرهای امنیتی اضافه کنید
هدرهای امنیتی دستورهای کوتاهی هستند که سرور شما به مرورگرها می‌فرستد. این هدرها جلوی گروهی از حمله‌ها را می‌گیرند، مثلاً تزریق اسکریپت‌های مخرب در یک صفحه یا نمایش سایت شما داخل یک سایت دیگر.
Content-Security-Policy: مرورگر کدام اسکریپت‌ها، استایل‌ها و تصاویر را بارگذاری کند.X-Frame-Optionsیاframe-ancestors: جلوی clickjacking را می‌گیرد.X-Content-Type-OptionsوReferrer-Policy: تنظیمات ساده و امن.
می‌توانید ویب‌سایت خود را به‌طور رایگان در securityheaders.com بررسی کنید.
۶. معلومات کمتر جمع کنید
معلوماتی که جمع نمی‌کنید، نمی‌تواند افشا شود. هر خانهٔ فورم، هر ابزار آمارگیری و هر افزونهٔ شرکت‌های دیگر معلومات شخصی بیشتری اضافه می‌کند که طبق GDPR باید از آن محافظت کنید.
- فقط معلوماتی را بخواهید که واقعاً لازم دارید.
- از ابزارهایی که محتوا را از شرکت‌های دیگر بارگذاری می‌کنند دوری کنید، مگر این‌که واقعاً فایده داشته باشند.
۷. بدانید وقتی مشکلی پیش آمد چه کنید
در یک جا بنویسید که ویب‌سایت شما کجا میزبانی می‌شود، چه کسانی دسترسی دارند، پشتیبان‌ها کجا هستند و چطور برگردانده می‌شوند. یک ابزار رایگان نظارت بر در دسترس بودن سایت اضافه کنید که اگر سایت از کار افتاد، برای شما ایمیل بفرستد. روزی که مشکلی پیش بیاید، این صفحه ساعت‌ها در وقت شما صرفه‌جویی می‌کند.
چک‌لیست
- HTTPS با انتقال خودکار و HSTS
- نرم‌افزار و افزونه‌های به‌روز
- رمزهای جداگانه و تأیید دومرحله‌ای
- پشتیبان‌گیری خودکار و آزمایش‌شده
- هدرهای امنیتی
- فقط معلومات لازم
- یک برنامهٔ بازیابی نوشته‌شده
در یکی از این قدم‌ها کمک لازم دارید؟ می‌توانیم ویب‌سایت شما را بررسی کنیم و یک فهرست روشن از اولویت‌ها، به زبان ساده، به شما بدهیم. خدمات امنیت سایبری و IT ما را ببینید.