Sayt təhlükəsizliyi: 10 vacib addım

Sayt təhlükəsizliyi üçün 10 vacib addım bunlardır: SSL sertifikatı, sistemin və plaginlərin vaxtında yenilənməsi, güclü parollar, iki faktorlu giriş, giriş hüquqlarının məhdudlaşdırılması, avtomatik ehtiyat nüsxələr, admin panelin qorunması, veb tətbiq firewall-u (WAF), formaların spam və hücumlardan qorunması, monitorinq. Hücumların böyük hissəsi elə bu siyahıda dayanır, çünki botlar əsasən köhnə proqram təminatı və zəif parol axtarır.

Qısa cavab: Təhlükəsizlik bir dəfəlik iş deyil, gündəlik gigiyenadır. Saytı yeniləyin, güclü parol və iki faktorlu giriş işlədin, ehtiyat nüsxələri ayrı yerdə saxlayın və bərpanı sınayın. Bu dörd addım ən çox rast gəlinən riskləri xeyli azaldır.

Niyə kiçik saytlar da hədəfdir

Müştərilərdən tez-tez eşidirik: «Mənim saytım kimə lazımdır?» Məsələ ondadır ki, hücumların çoxunu insan yox, bot edir. Botlar minlərlə saytı ardıcıl yoxlayır və zəifliyi olanı sındırır, kimin saytı olduğu onlar üçün fərq etmir.

Sındırılmış saytdan spam e-poçt göndərilir, ona fırıldaqçı ödəniş səhifələri yerləşdirilir, ziyarətçilərə zərərli kod yayılır. Sonra Google saytı «təhlükəli» kimi işarələyir və axtarış trafiki bir gecədə kəsilir.

10 vacib addım

1. SSL sertifikatı və HTTPS

Bütün sayt HTTPS ilə açılmalıdır, təkcə ödəniş səhifəsi yox. HTTP-dən HTTPS-ə avtomatik yönləndirmə qurun. Bir çox hostinq pulsuz sertifikat (məsələn, Let's Encrypt) təklif edir.

2. Vaxtında yeniləmələr

CMS, mövzular, plaginlər və server proqramları yenilənməlidir. Xüsusən WordPress saytlarında köhnə plaginlər ən çox istifadə olunan hücum yoludur.

• İstifadə olunmayan plagin və mövzuları silin.
• Plaginləri yalnız etibarlı mənbədən yükləyin.
• «Pulsuz» versiyası yayılan pullu plaginlərdən qaçın: onlarda tez-tez zərərli kod olur.

3. Güclü və unikal parollar

Hər hesab üçün uzun, unikal parol. Parol menecerindən istifadə edin. «admin / 123456» kimi kombinasiyalar botların ilk sınadığı variantlardır.

4. İki faktorlu giriş (2FA)

Admin panel, hostinq, domen qeydiyyatçısı və e-poçt üçün 2FA aktivləşdirin. Parol oğurlansa belə, ikinci faktor olmadan giriş mümkün olmayacaq.

5. Giriş hüquqlarını məhdudlaşdırın

Hər əməkdaşa yalnız işi üçün lazım olan hüquqları verin. Kontent menecerə administrator hüququ lazım deyil. İşdən çıxan əməkdaşın və ya müqaviləsi bitən podratçının hesablarını dərhal bağlayın.

6. Avtomatik ehtiyat nüsxələr

Ehtiyat nüsxə son müdafiə xəttidir.

Və bərpanı mütləq sınayın. Heç vaxt bərpa edilməmiş ehtiyat nüsxəyə güvənmək olmaz.

7. Admin paneli qoruyun

• Standart admin ünvanını dəyişin və ya girişə IP məhdudiyyəti qoyun.
• Uğursuz giriş cəhdlərini məhdudlaşdırın.
• Admin hesabının adı «admin» olmasın.

8. Veb tətbiq firewall-u (WAF) və CDN

WAF zərərli sorğuları sayta çatmadan bloklayır. Cloudflare kimi xidmətlər həm CDN, həm də əsas qoruma (DDoS, bot filtrləri) təklif edir. Bu, saytın sürətinə də müsbət təsir göstərə bilər.

9. Formaları qoruyun

Əlaqə və sifariş formaları spam və hücum üçün açıq qapıdır.

• CAPTCHA və ya görünməz bot yoxlaması (honeypot).
• Daxil edilən məlumatın server tərəfində yoxlanılması.
• Fayl yükləmə sahələrində fayl tipi və ölçü məhdudiyyəti.

10. Monitorinq və planlaşdırılmış yoxlama

• Saytın əlçatanlığını izləyən xidmət (sayt dayananda bildiriş).
• Google Search Console-da təhlükəsizlik bildirişlərinə baxın.
• Ayda bir dəfə istifadəçi siyahısını, plaginləri və ehtiyat nüsxələri yoxlayın.

Şəxsi məlumatların qorunması

Sayt müştərilərin adını, telefonunu, ünvanını və ya ödəniş məlumatını qəbul edirsə, məsuliyyət artır. Kart məlumatlarını öz serverinizdə saxlamayın, ödəniş bankın və ya ödəniş təminatçısının səhifəsində aparılmalıdır. Şəxsi məlumatlarla bağlı hüquqi tələbləri isə hüquqşünasla dəqiqləşdirin və saytda məxfilik siyasəti yerləşdirin.

Aylıq təhlükəsizlik yoxlama siyahısı

1. Bütün yeniləmələr quraşdırılıbmı?
2. Son ehtiyat nüsxə nə vaxt çıxarılıb və bərpası yoxlanılıbmı?
3. Admin istifadəçilər siyahısında artıq hesab varmı?
4. SSL sertifikatının müddəti nə vaxt bitir?
5. Domen qeydiyyatının müddəti nə vaxt bitir?
6. Search Console-da təhlükəsizlik xəbərdarlığı varmı?
7. Formalarda spam artımı müşahidə olunurmu?

Domenin vaxtında yenilənməməsi də ciddi risk yaradır, ətraflı domen və hostinq seçimi yazısında. Texniki sağlamlığın digər tərəfləri üçün texniki SEO yoxlama siyahısına baxın.

Nümunə hesablama: dayanmanın qiyməti

Tutaq ki, onlayn mağaza gündə orta hesabla 1200 AZN satış edir. Sayt sındırılır və ehtiyat nüsxə olmadığı üçün bərpa 3 gün çəkir.

• Birbaşa itki: 3 × 1200 = 3600 AZN satış.
• Üstəlik: bərpa xərci, reklam büdcəsinin boşa getməsi, müştəri etibarının itməsi.

Gündəlik avtomatik ehtiyat nüsxə ilə bərpa bir neçə saata enə bilər. Rəqəmlər hipotetikdir, amma profilaktikanın dayanmadan ucuz olduğunu göstərir.

Komandanın təhlükəsizlik vərdişləri

Texniki tədbirlər nə qədər güclü olsa da, hücumların bir hissəsi insanlar vasitəsilə baş verir. Fişinq e-poçtları, saxta «hostinq bildirişləri» və ya WhatsApp-da gələn «parolunuzu təsdiqləyin» mesajları ilə giriş məlumatları oğurlanır.

• Admin girişlərini e-poçtdakı linklərdən yox, birbaşa ünvandan edin.
• Parolları WhatsApp və ya e-poçt ilə göndərməyin, parol menecerinin paylaşma funksiyasından istifadə edin.
• Podratçılara müvəqqəti hesab verin və iş bitəndə bağlayın.
• İctimai Wi-Fi şəbəkələrində admin panelə daxil olmayın.
• Komandaya ildə bir dəfə qısa təlim keçin: fişinqi necə tanımaq olar.

Hostinq seçiminin təhlükəsizliyə təsiri

Ucuz və köhnə hostinq tez-tez təhlükəsizlik riskidir: köhnə PHP versiyası, paylaşılan serverdə qonşu saytların infeksiyası, ehtiyat nüsxə xidmətinin olmaması. Hostinq seçərkən soruşun:

1. Serverdə proqram təminatı müntəzəm yenilənirmi?
2. Avtomatik ehtiyat nüsxə xidməti varmı və nüsxələr harada saxlanılır?
3. Zərərli kod skanı və bloklanma mexanizmi varmı?
4. Hər sayt digərlərindən təcrid olunubmu?
5. Texniki dəstək hansı dildə və nə qədər tez cavab verir?

Statik saytlar (məsələn, generator ilə yığılıb CDN üzərindən paylanan saytlar) verilənlər bazası və admin panel olmadığı üçün hücum səthi kiçik olan variantdır. Kontent idarəetməsi lazımdırsa, bu yanaşmanı ayrıca CMS ilə birləşdirmək mümkündür.

Burada mürəkkəb texnologiyadan çox nizam lazımdır. Yuxarıdakı aylıq siyahını təqvimə salın və bir nəfəri ona cavabdeh edin, adətən elə bu kifayət edir. Saytınızın texniki baxımı və təhlükəsizliyi üçün İT və avtomatlaşdırma xidmətimizə baxın və ya audit üçün bizimlə əlaqə saxlayın.