SSL, varmuuskopiot, päivitykset — yrityssivuston tietoturvan muistilista

Miksi juuri yrityssivustot ovat kohteena

Valtaosa hyökkäyksistä ei ole kohdennettuja. Automaattiset botit skannaavat verkkoa jatkuvasti ja etsivät sivustoja, joissa on tunnettu haavoittuvuus tai heikko salasana. Yrityksen koko ei suojaa — kone ei erottele pientä tilitoimistoa ja isoa verkkokauppaa.

Kun aukko löytyy, seuraukset ovat käytännöllisiä: sivustolle ilmestyy roskapostilinkkejä, se päätyy hakukoneiden varoituslistalle tai menee kokonaan alas. Yritykselle se tarkoittaa menetettyä luottamusta ja myyntiä juuri silloin, kun asiakas etsii sinua.

Seitsemän kohdan muistilista

Nämä seitsemän kohtaa kannattaa käydä läpi jokaisen yrityssivuston pitäjän. Ne eivät vaadi teknistä taustaa, mutta kattavat suurimman osan riskeistä:

• SSL-varmenne on voimassa ja osoite alkaa https-muodolla
• Varmuuskopiot otetaan automaattisesti ja ne on testattu palautuvaksi
• WordPress, lisäosat ja teema päivitetään säännöllisesti
• Salasanat ovat vahvat ja uniikit, ja ylläpidossa on kaksivaiheinen tunnistus
• Käyttäjätilejä on vain tarpeellinen määrä, ja jokaisella oikeudet vain siihen mitä tarvitsee
• Kirjautumissivu on suojattu automaattista arvausta vastaan (brute force -esto)
• Käyttämättömät lisäosat ja teemat on poistettu kokonaan, ei vain otettu pois käytöstä

Vinkki: Käytä salasanojen hallintaohjelmaa. Yksi uniikki, pitkä salasana per palvelu tekee arvaamisesta ja vuotaneiden salasanojen uudelleenkäytöstä käytännössä mahdotonta.

Varmuuskopio on tärkein yksittäinen suojaus

Mikään suojaus ei ole sataprosenttinen, joten viimeinen turva on aina toimiva varmuuskopio. Sillä sivusto palautuu entiselleen, olipa syynä murto, epäonnistunut päivitys tai inhimillinen virhe. Tärkeintä ei ole vain että kopio otetaan, vaan että se on testattu palautuvaksi.

Näin ResaHostilla: Otamme varmuuskopiot päivittäin ja säilytämme ne kahdessa eri sijainnissa. Jos jokin menee pieleen, sivusto palautuu ilman että sinun tarvitsee tehdä mitään.

Päivitykset: pieni rutiini, iso vaikutus

Suurin osa murroista kohdistuu vanhentuneisiin lisäosiin. Kun kehittäjä korjaa tietoturva-aukon, korjaus tulee päivityksen mukana — mutta vain jos päivitys asennetaan. Päivittämättä jäänyt lisäosa on julkinen ohje siitä, mistä sivustolle pääsee sisään.

Huomio: Älä päivitä sokkona suoraan tuotantoon. Ota ensin varmuuskopio ja tarkista päivityksen jälkeen, että sivusto ja lomakkeet toimivat — näin mahdollinen ongelma huomataan heti, ei vasta asiakkaan valituksesta.

Kun jokin menee silti pieleen

Jos epäilet, että sivustolle on murtauduttu, nopeus ratkaisee. Toimi järjestyksessä äläkä poista todisteita hätäillen — palautus onnistuu parhaiten, kun tiedät mitä tapahtui:

• Vaihda ylläpidon ja tietokannan salasanat välittömästi
• Palauta sivusto puhtaasta varmuuskopiosta ennen murtoa
• Päivitä WordPress, lisäosat ja teema ajan tasalle
• Poista tuntemattomat käyttäjätilit ja tarkista tiedostomuutokset
• Pyydä hakukonetta tarkistamaan sivusto uudelleen, jos se ehti varoituslistalle