Råden om hur du skyddar din webbplats mot hackare presenteras ofta som en lång checklista. Problemet är att inte alla punkter på listan väger lika tungt. Ett litet antal åtgärder står för merparten av de attackvägar som leder till verkliga intrång, och att veta vilka du ska prioritera är skillnaden mellan verklig säkerhet och skenbar säkerhet.
Attacker mot webbplatser är nästan helt automatiserade. Skannrar letar igenom miljontals webbplatser samtidigt och testar kända sårbarheter i programversioner, vanliga lösenord och exponerade konfigurationsfiler. En webbplats behöver inte ha mycket trafik eller vara välkänd för att bli ett mål. Det räcker att den är online och kör något med ett känt fel. För hela sammanhanget kring vad som står på spel när de här åtgärderna saknas, läs artikeln varför webbplatssäkerhet är viktigt.
Skydda din webbplats mot hackare med stark autentisering
Attacker mot inloggningsuppgifter är bland de vanligaste sätten för angripare att ta sig in på webbplatser. Ett starkt lösenord räcker inte i sig. Det som faktiskt stoppar automatiska brute force-verktyg är att kombinera ett starkt lösenord med begränsning av antalet försök och en andra autentiseringsfaktor.
Starka och unika lösenord
- Lösenord till adminkonton bör vara långa, slumpmässiga och unika för webbplatsen. De ska inte återanvändas från någon annan tjänst
- Korta lösenord och lösenord som bygger på vanliga ord eller mönster testas först av automatiska brute force-verktyg, som kan prova tusentals kombinationer per minut
- En lösenordshanterare skapar och lagrar starka lösenord utan att du behöver lära dig dem utantill
Tvåfaktorsautentisering
- Tvåfaktorsautentisering kräver ett andra verifieringssteg utöver lösenordet när du loggar in i adminpanelen
- Även om ett lösenord stjäls genom ett dataintrång eller en nätfiskeattack hindrar tvåfaktorsautentisering angriparen från att använda det utan att också kontrollera den andra faktorn
- Att aktivera den på varje adminkonto är en av de enskilda ändringar som ger störst effekt för webbplatssäkerheten
Begränsning av inloggningsförsök
- Brute force-verktyg fungerar genom att testa tusentals lösenord i snabb följd. En gräns för antalet misslyckade inloggningsförsök innan en IP-adress spärras stoppar det tillvägagångssättet
- Många webbplattformar har begränsning av inloggningsförsök som en inbyggd inställning eller via ett säkerhetstillägg
Ta bort oanvända konton
- Varje aktivt adminkonto med ett svagt eller återanvänt lösenord är en möjlig ingång
- Konton som skapats för tidigare anställda, entreprenörer eller utvecklare bör tas bort så snart de inte längre behövs
Skydda din webbplats mot hackare med god programvaruhygien
Föråldrad programvara är den mest utnyttjade sårbarhetskategorin på webbplatser. När ett säkerhetsfel hittas och rättas publiceras detaljerna oftast tillsammans med rättningen. Webbplatser som fortfarande kör den gamla versionen är då ett dokumenterat, känt mål.
Installera uppdateringar så snart de finns
- Uppdateringar av webbplattformen, tillägg, teman och integrationer bör installeras omgående. De innehåller ofta säkerhetsrättningar, och om du väntar förblir kända sårbarheter öppna
- Om uppdateringar ställs in att installeras automatiskt där det går försvinner risken att missa en kritisk rättning
Ta bort oanvända tillägg och teman
- Inaktiva tillägg och teman som inte hålls uppdaterade förblir sårbara även när de inte är aktiva på webbplatsen
- Att ta bort dem minskar angreppsytan utan att något påverkas på den publicerade webbplatsen
Använd bara programvara från betrodda källor
- Tillägg, teman och utökningar från inofficiella källor är ett vanligt sätt att sprida skadlig kod
- Om du bara använder programvara från plattformens officiella marknadsplats eller från välrenommerade, etablerade utvecklare minskar du risken att installera kod som redan är infekterad
Hur skyddar HTTPS din webbplats?
Ett SSL-certifikat och HTTPS är grundkrav. De skyddar data under överföringen och signalerar till sökmotorer att webbplatsen uppfyller minimistandard för säkerhet. Fullständiga uppgifter om hur du ställer in det finns i artikeln vad ett SSL-certifikat är och hur det fungerar.
Vad HTTPS gör
- HTTPS krypterar data som besökare skickar via formulär, inloggningssidor och betalningar, så att den inte går att läsa om den avlyssnas under överföringen
- SSL-certifikatet bekräftar också webbplatsens identitet och skyddar mot vissa former av avlyssning av trafik och imitation
Vad HTTPS inte gör
- HTTPS förhindrar inte attacker mot själva webbplatsen. SQL-injektion, cross-site scripting, brute force-försök att logga in och injicering av skadlig kod stoppas inte av HTTPS
- Det är ett skyddslager, inte en ersättning för de andra
Hur hjälper en brandvägg för webbapplikationer?
Vad den gör
- En brandvägg för webbapplikationer sitter mellan inkommande trafik och webbplatsen och granskar förfrågningar innan de når servern
- Den filtrerar bort förfrågningar som matchar kända attackmönster, inklusive försök till SQL-injektion, skadlig kod för cross-site scripting och trafik från kända skadliga källor
- Attacker som aldrig når servern kan inte utnyttja sårbarheter i webbplatsens kod
Brandväggar på nätverksnivå jämfört med applikationsnivå
- Brandväggar på nätverksnivå filtrerar trafik på infrastrukturnivå innan den når servern. De tillhandahålls oftast av webbhotell och CDN-leverantörer
- Brandväggar på applikationsnivå verkar på webbplatsnivå och kan vara mer specifika om vilka förfrågningar som ska tillåtas utifrån webbplatsens innehåll och beteende
- Båda typerna har olika syften och kan användas tillsammans
Varför säkerhetskopior är en del av skyddet mot hackare
Ingen säkerhetsåtgärd eliminerar all risk. När något ändå tar sig igenom är det en ren säkerhetskopia som avgör hur snabbt du återhämtar dig och hur mycket du förlorar.
Vad säkerhetskopior gör som förebyggande åtgärder inte kan
- Ransomware-attacker som krypterar webbplatsens filer är mycket mindre skadliga när det finns en färsk, ren säkerhetskopia. Om du återställer från säkerhetskopian försvinner angriparens påtryckningsmedel helt
- En ren säkerhetskopia ger också en verifierad referenspunkt att jämföra med när du försöker identifiera vad en angripare har ändrat
Vad som gör en säkerhetskopia användbar
- Säkerhetskopior måste lagras separat från webbplatsens server. En säkerhetskopia på samma server komprometteras eller krypteras tillsammans med allt annat vid en attack
- Hur ofta du tar säkerhetskopior bör motsvara hur ofta webbplatsen ändras. En webbplats som uppdateras dagligen behöver dagliga säkerhetskopior
- Att testa att en säkerhetskopia faktiskt går att återställa är lika viktigt som att ha den. En säkerhetskopia som misslyckas vid återställning är ingen säkerhetskopia
En komplett guide till hur du ställer in och hanterar säkerhetskopior finns i artikeln så säkerhetskopierar du din webbplats. Om du undrar vad du ska göra om skadlig kod redan finns på din webbplats, läs artikeln vad skadlig kod på webbplatser är och hur du tar bort den.
Så hanterar WEMASY skyddet av webbplatsen
WEMASY:s hostinginfrastruktur innehåller brandväggsskydd och skydd mot DDoS på nätverksnivå. SSL-certifikat ingår i varje plan och tillämpas automatiskt, så alla webbplatser levereras över HTTPS som standard. Programuppdateringar hanteras på plattformsnivå, vilket tar bort ansvaret för att installera rättningar från webbplatsägaren.
Säkerhetskopior ingår i alla planer och hanteras automatiskt, med återställningsalternativ i administrationsvyn. Tvåfaktorsautentisering finns för åtkomst till WEMASY-kontot, och inloggningsaktivitet övervakas på plattformsnivå.
Se vad som ingår i WEMASY webbplatsbyggare, eller jämför planerna på prissidan.
Vanliga frågor
Hur tar sig hackare in på webbplatser?
De flesta intrång på webbplatser sker via tre vägar: att utnyttja kända sårbarheter i föråldrad programvara, att ta sig in via svaga eller stulna adminlösenord och att föra in skadlig kod via sårbara tillägg eller skript från tredje part. Automatiska verktyg skannar stora mängder webbplatser hela tiden efter de här sårbarheterna och utnyttjar dem utan att någon riktar in sig på en särskild webbplats. Om du håller programvaran uppdaterad och använder starka, unika adminlösenord stänger du de vanligaste ingångarna. Med WEMASY:s webbplatsbyggare kan du ställa in det direkt på din webbplats.
Vilket är det viktigaste steget för att skydda en webbplats mot hackare?
Att hålla all programvara uppdaterad och använda starka, unika lösenord med tvåfaktorsautentisering på adminkonton förhindrar tillsammans merparten av lyckade attacker. Programuppdateringar stänger kända sårbarheter innan angripare hinner utnyttja dem. Stark autentisering förhindrar åtkomst genom attacker mot inloggningsuppgifter även när ett lösenord har läckt någon annanstans. Säkerhetskopior förhindrar inte attacker men begränsar skadan när en lyckas, vilket gör dem till en nödvändig del av varje komplett skyddsstrategi.
Påverkar webbplatsens storlek risken att bli hackad?
Nej. Attacker mot webbplatser är nästan helt automatiserade. Skannrar letar igenom miljontals webbplatser efter kända sårbarheter och svaga inloggningsuppgifter oavsett webbplatsens storlek, trafik eller bransch. En liten portföljwebbplats som kör föråldrad programvara är lika utsatt som en stor plattform med samma sårbarhet. Åtgärderna som skyddar en webbplats är desamma oavsett storlek.
Vad är en brandvägg för webbapplikationer och behöver jag en?
En brandvägg för webbapplikationer filtrerar inkommande trafik till webbplatsen och blockerar förfrågningar som matchar kända attackmönster innan de når servern. Den kan automatiskt blockera försök till SQL-injektion, skadlig kod för cross-site scripting och trafik från kända skadliga källor. Om du behöver en egen brandvägg för webbapplikationer beror på hur ditt webbhotell är upplagt. Många webbhotell inkluderar brandväggsskydd på nätverksnivå, som hanterar en betydande del av de automatiska attackerna utan att webbplatsägaren behöver konfigurera något.
Hur ofta bör jag säkerhetskopiera min webbplats?
Rätt frekvens beror på hur ofta webbplatsens innehåll ändras. En webbplats som uppdateras dagligen med nytt innehåll, beställningar eller inskick behöver dagliga säkerhetskopior. En webbplats som sällan ändras kan säkerhetskopieras mer sällan, men bör ändå säkerhetskopieras före varje större uppdatering eller plattformsbyte. Säkerhetskopior bör lagras separat från webbplatsens server och testas regelbundet för att bekräfta att de faktiskt går att återställa.
Kan jag skydda min webbplats mot hackare utan teknisk kunskap?
Ja. De mest effektiva skyddsåtgärderna kräver ingen teknisk kunskap. Ett starkt, unikt lösenord på adminkonton, aktiverad tvåfaktorsautentisering och programuppdateringar via plattformens inbyggda verktyg stänger de flesta vanliga attackvägar. Om du väljer ett webbhotell eller en webbplattform som inkluderar brandväggsskydd, SSL och automatiska säkerhetskopior på plattformsnivå sköts säkerheten på infrastrukturnivå utan att du behöver konfigurera något.