Безопасность веб-сайта: гарантия того, что вашей компании можно доверять

Если вы держите глаза и уши открытыми, вы должны знать, что нарушения безопасности, приводящие к утечке частной информации тысяч, а иногда и миллионов людей, происходят постоянно. Это неизбежно, даже если вы ограничите свои возможности только огромными скандалами, такими как недавнее фиаско Facebook. Но мелкие утечки и взломы случаются так же часто — просто мы не так много о них слышим. Вот почему безопасность веб-сайта должна быть одной из ваших главных забот, независимо от того, какой веб-сайт вы используете, даже если вы не верите, что на вашем сайте есть что-то, ради чего его нужно взломать. Правда в том, что большинство веб-сайтов взламывают не потому, что хакеры хотят украсть чьи-то данные, а, например, для того, чтобы настроить временный веб-сервер для обслуживания незаконных файлов или использовать его в качестве ретранслятора для спама. Или использовать его как часть ботнета для DDoS-атак. Или майнить биткойны. Возможности безграничны, и ни одна из них не особенно приятна для владельца сайта — и ставки становятся намного выше, если вы действительно обрабатываете конфиденциальную информацию о своих клиентах.

Что наиболее важно, наличие безупречной безопасности и известность за это означает, что ваши клиенты, не колеблясь, купят у вас, предоставят свою личную информацию, подпишутся на ваши информационные бюллетени и так далее. Малейшее подозрение, что безопасность вашего сайта скомпрометирована, может привести к массовому оттоку клиентов, и вернуть их будет крайне сложно.

Вот несколько советов и решений по обеспечению безопасности веб-сайтов, которые помогут вам и вашим клиентам спать спокойно.

1. Обновляйте все свое программное обеспечение

Это может показаться очевидным, но вы будете поражены тем, как много веб-сайтов, даже управляемых гигантскими компаниями, используют устаревшее программное обеспечение, которое делает их очень уязвимыми для потенциальных атак. Если вы не сделаете обновление своего программного обеспечения и замену старых версий привычкой, вы можете откладывать это на неопределенный срок и в конечном итоге получить тревожный сигнал уже в виде скомпрометированной безопасности.

Это касается как операционной системы, используемой вашим сервером, так и всего программного обеспечения, используемого на вашем сайте (например, SMS или форум). Большинство поставщиков программного обеспечения используют списки рассылки, чтобы сообщать о любых проблемах безопасности своих продуктов и уведомлять вас об обновлениях, когда они их выпускают. Обязательно проверяйте их почаще и применяйте без задержек.

2. Используйте надежный конструктор сайтов

Использование хорошо зарекомендовавшего себя и гибкого конструктора веб-сайтов устраняет многие потенциальные проблемы с дизайном вашего веб-сайта и посылает вашим клиентам сигнал о том, что их данные в полной безопасности. Наиболее известные из них воспринимаются как эталон качества с точки зрения безопасности, и связь с ними уже значительно ослабит опасения потенциального клиента.

3. Минимизируйте сообщения об ошибках

Даже такую простую вещь, как сообщение об ошибке, можно легко использовать для взлома, если владелец веб-сайта достаточно неосторожен. Убедитесь, что вы свели их к минимуму и не позволяете им утечь конфиденциальную информацию (например, пароли или ключи API). Не указывайте полные сведения об исключении, потому что они предоставляют информацию о структуре вашего кода и значительно упрощают другие, более сложные атаки и повышают вероятность их успеха. Показывайте своим пользователям минимум информации, которую они должны знать, и надежно храните ее в своих журналах.

4. Применяйте строгие политики паролей

Удивительно, как много людей в 2018 году все еще используют пароли в духе «12345» или «пароль», несмотря на то, что снова и снова слышат, как легко их взломать. Во-первых, убедитесь, что вы используете надежные пароли для своего сервера и админки сайта; Интернет изобилует рекомендациями о том, как генерировать надежные, но легко запоминающиеся пароли, так что используйте их.

Во-вторых, вы должны мотивировать (и, при необходимости, принуждать) своих пользователей делать то же самое. По крайней мере, вы должны использовать пароли длиной не менее восьми символов, содержащие как прописные, так и строчные буквы, цифры и специальные символы. Поначалу это может показаться им хлопотным, но в следующий раз, когда они узнают об очередной бреши в системе безопасности, они будут вам благодарны.

В-третьих, пароли должны храниться в зашифрованном виде, желательно с использованием алгоритма хеширования. Даже если кому-то удастся украсть хешированные пароли, это может ограничить ущерб, поскольку их невозможно расшифровать.

5. Используйте HTTPS

Протокол HTTPS гарантирует вашим пользователям, что они работают именно с тем веб-сайтом, которого ожидают, и что никакие отправленные ими данные не могут быть перехвачены третьими лицами. Если ваш веб-сайт предполагает обработку личных данных ваших клиентов, вам следует настоятельно рассмотреть возможность использования для этих целей только HTTPS; в противном случае безопасность вашего веб-сайта будет скомпрометирована, а ваши более технически подкованные клиенты могут решить избегать вас, потому что вы не слишком стремитесь защитить их данные.

6. Чаще проверяйте безопасность своего сайта

Вы можете найти множество инструментов безопасности, которые помогут вам проверить ваш сайт на проникновение, как бесплатных, так и коммерческих. Принцип их работы во многом схож с подходами, обычно используемыми хакерами — они проверяют все известные эксплойты и имитируют атаки, которые на самом деле могут быть использованы для взлома вашего сайта. В результате вы сможете увидеть не только то, может ли ваш сайт быть успешно атакован, но и точный метод атаки, от которого вы должны защититься.

7. Будьте осторожны с загрузкой файлов

Предоставление пользователям возможности загружать файлы на ваш сервер представляет собой большую угрозу безопасности, поскольку они могут содержать сценарии, выполнение которых может нанести неизмеримый вред вашему веб-сайту. Проверка расширений файлов не поможет — их легко подделать. Даже файлы изображений, загруженные в раздел комментариев, могут содержать вредоносный код, содержащий вредоносный скрипт. В идеале вы не должны разрешать загрузку вообще. Или, по крайней мере, предотвратите прямой доступ к загруженным файлам, сохранив их за пределами webroot.

Эти советы не являются исчерпывающими и не гарантируют 100-процентную безопасность вашего веб-сайта, но если вы будете следовать им, вы уже сделаете гораздо больше для обеспечения безопасности своего сайта и своих клиентов, чем многие другие компании.