Det första tecknet på att webbplatssäkerheten har brustit är ofta något som webbplatsägaren inte märker alls. Besökare får varningar, skickas vidare till okända sidor eller upptäcker att deras data har äventyrats medan webbplatsen på ytan verkar fungera som vanligt. Webbplatssäkerhet är de åtgärder som skyddar en webbplats mot obehörig åtkomst, datastöld, skadlig kod och driftstopp. Den här artikeln går igenom varför det är viktigt för alla webbplatser oavsett storlek eller syfte, hur de vanligaste hoten ser ut och vilka grundskydd varje webbplats bör ha på plats.
Automatiska attacker bedömer inte en webbplats innan de riktar sig mot den. De skannar internet hela tiden efter kända sårbarheter att utnyttja, oavsett webbplatsens storlek, bransch eller trafikmängd. Skillnaden mellan webbplatser som blir angripna och de som inte blir det handlar sällan om hur framträdande webbplatsen är. Den handlar nästan alltid om vilka säkerhetsåtgärder som finns.
Vad kan hända med en osäker webbplats?
Brister i webbplatssäkerheten är inte alltid dramatiska. De går ofta obemärkta förbi hos webbplatsägaren samtidigt som de orsakar stor skada för besökare, rykte och sökprestanda.
Datastöld
- Om din webbplats samlar in information från besökare, till exempel kontaktformulär, e-postadresser eller betaluppgifter, riskerar en osäker webbplats den datan
- Ett intrång som exponerar besökarnas data skapar juridiskt ansvar, särskilt i regioner där dataskyddslagar kräver säker hantering av personuppgifter
- Besökare som upptäcker att deras data har exponerats via din webbplats kommer sannolikt inte tillbaka
Insprutning av skadlig kod
- Angripare som får åtkomst till en webbplats kan lägga in skadlig kod som körs tyst i bakgrunden
- Koden kan skicka besökare till bedrägliga sidor, visa oönskade annonser, stjäla inloggningsuppgifter eller använda webbplatsen för att angripa andra
- Webbplatsägaren vet ofta inte om det förrän en besökare rapporterar det eller en säkerhetsskanner slår larm
Vandalisering av webbplatsen
- Vissa attacker ersätter webbplatsens innehåll med angriparens eget budskap, egna bilder eller länkar
- Vandalisering syns direkt och skadar trovärdighet och förtroende
- För alla webbplatser som är beroende av sin webbnärvaro för att locka eller behålla besökare kan det ta lång tid och mycket arbete att återhämta sig efter en vandalisering
Driftstopp
- Attacker som är utformade för att överbelasta en server med trafik kan ta ned en webbplats helt
- Varje timme en webbplats ligger nere är förlorad synlighet, förlorade leads och förlorade intäkter
- Återhämtning efter en allvarlig attack kan ta dagar om det inte finns säkerhetskopior
Hur påverkar webbplatssäkerhet placeringen i sökresultaten?
Sökmotorer övervakar aktivt säkerhetsproblem och tar hänsyn till dem i ranking och synlighet i sökresultaten.
Varningar om skadlig kod i sökresultaten
- När en sökmotor upptäcker skadlig kod på en webbplats lägger den till en varningsetikett på sökträffen
- Besökare som ser en varning innan de klickar går sällan vidare
- Klickfrekvensen (CTR) sjunker till nära noll när säkerhetsvarningar visas, oavsett hur bra sidan rankar
Säkerhetsvarningar i webbläsaren
- Webbläsare visar en helskärmsvarning när en besökare försöker öppna en webbplats som flaggats som farlig eller en webbplats utan HTTPS
- Besökare måste aktivt välja att gå vidare förbi varningarna, och de flesta gör inte det
- En webbplats som utlöser webbläsarvarningar tappar trafik från varje besökare som ser en
HTTPS som rankingsignal
- HTTPS, den säkra versionen av HTTP-protokollet, är en bekräftad rankingsignal
- Webbplatser som levererar sidor via HTTP i stället för HTTPS har en rankingnackdel jämfört med likvärdiga sidor som levereras säkert
- Webbläsare markerar också HTTP-webbplatser som "Inte säker" i adressfältet, vilket minskar besökarnas förtroende redan innan någon interaktion
För en fullständig förklaring av hur HTTPS fungerar och vad det skyddar kan du läsa artikeln om vad HTTPS är och hur det skyddar din webbplats.
Vilka är de vanligaste hoten mot webbplatssäkerheten?
Brute force-attacker
- Automatiska verktyg provar tusentals kombinationer av användarnamn och lösenord för att få åtkomst till webbplatsens administrationspaneler
- Svaga lösenord och obegränsat antal inloggningsförsök gör brute force-attacker enkla att genomföra
- Tvåfaktorsautentisering och gränser för inloggningsförsök minskar risken avsevärt
SQL-injektion
- Angripare skriver in skadlig kod i formulärfält eller URL-parametrar för att manipulera databasfrågor
- En lyckad SQL-injektion kan exponera eller radera databasens innehåll, inklusive kunddata
- Hotet är särskilt relevant för webbplatser med sökfält, inloggningsformulär eller kontaktformulär som samverkar med en databas
Cross-site scripting
- Skadliga skript läggs in på en sida som andra besökare sedan laddar i sina webbläsare
- Skripten kan stjäla sessionscookies, skicka besökare vidare eller fånga upp det som skrivs i formulär
- Cross-site scripting är en av de vanligaste sårbarheterna i webbapplikationer
Skadlig kod och ransomware
- När en angripare har fått åtkomst till en webbplats kan hen installera skadlig kod som körs i bakgrunden, samlar in data eller krypterar filer
- Ransomware låser ute webbplatsägare från sina egna webbplatser och kräver betalning för att ge tillbaka åtkomsten
- Regelbundna säkerhetskopior är det främsta försvaret mot ransomware, eftersom en återställning från en ren kopia tar bort angriparens påtryckningsmedel
Föråldrad programvara
- Kända sårbarheter i webbplatsens programvara, tillägg och teman publiceras offentligt när korrigeringar släpps
- Webbplatser som kör föråldrade versioner är sårbara för attacker som utnyttjar de publicerade sårbarheterna
- Att hålla programvaran uppdaterad är en av de enklaste säkerhetsåtgärderna som finns
Vilka grundläggande säkerhetsåtgärder bör varje webbplats ha?
HTTPS och ett SSL-certifikat
- Alla webbplatser bör leverera sidor via HTTPS, som krypterar data på vägen mellan besökarens webbläsare och servern
- Ett SSL-certifikat är det som möjliggör HTTPS. Utan ett skickas data i klartext och kan fångas upp
- Webbläsare markerar webbplatser utan HTTPS som "Inte säker". Besökare skickar sällan in formulär eller handlar på en webbplats med den etiketten
För en fullständig förklaring av hur SSL-certifikat fungerar och hur du skaffar ett kan du läsa artikeln om vad ett SSL-certifikat är och hur det fungerar.
Stark autentisering
- Administratörskonton bör ha starka, unika lösenord och tvåfaktorsautentisering
- Begränsa antalet inloggningsförsök för att stoppa automatiska brute force-verktyg
- Ta bort oanvända administratörskonton. Varje aktivt konto med svaga inloggningsuppgifter är en möjlig ingång
Regelbundna säkerhetskopior
- Med säkerhetskopior kan en webbplats återställas till ett rent läge efter en attack utan att betala lösen eller bygga om från början
- Säkerhetskopior bör lagras separat från själva webbplatsen. En kopia som ligger på samma server går förlorad om servern äventyras
- Testa återställningar då och då för att bekräfta att säkerhetskopiorna fungerar som de ska
Programvaruuppdateringar
- Installera uppdateringar av webbplatsplattformen, tilläggen, teman och alla integrationer från tredje part så fort de finns tillgängliga
- Uppdateringar innehåller ofta säkerhetskorrigeringar som stänger sårbarheter som upptäckts sedan förra versionen
En brandvägg för webbapplikationer
- En brandvägg för webbapplikationer sitter mellan inkommande trafik och webbplatsen och filtrerar bort kända skadliga förfrågningar innan de når servern
- Brandväggar kan automatiskt blockera SQL-injektioner, cross-site scripting, bottrafik och andra vanliga angreppsmönster
För en fullständig guide till hur du skyddar din webbplats mot obehörig åtkomst och attacker kan du läsa artikeln om hur du skyddar din webbplats mot hackare. Hur du ställer in regelbundna säkerhetskopior beskrivs i artikeln om hur du säkerhetskopierar din webbplats.
Så hanterar WEMASY webbplatssäkerhet
WEMASY:s webbplatsbyggare har SSL-certifikat i varje plan, så alla webbplatser levereras via HTTPS som standard. Det krävs ingen separat inställning eller något separat köp. Hostinginfrastrukturen innehåller brandväggsskydd och DDoS-skydd på nätverksnivå, vilket minskar exponeringen för vanliga automatiska attacker utan att webbplatsägaren behöver konfigurera något.
Programvaran som körs på WEMASY-plattformen underhålls och uppdateras av plattformsteamet, så webbplatsägare behöver inte själva installera säkerhetskorrigeringar i det underliggande systemet. Säkerhetskopior ingår och hanteras automatiskt, med återställningsalternativ via instrumentpanelen.
Se vad som ingår på WEMASY:s webbplatsbyggare, eller jämför planerna på prissidan.
Vanliga frågor
Varför är webbplatssäkerhet viktigt?
Webbplatssäkerhet skyddar besökare, webbplatsens data och synligheten i sökresultaten på en gång. En osäker webbplats kan användas för att stjäla besökares data, sprida skadlig kod till dem som besöker den eller tas ned helt. Sökmotorer flaggar osäkra webbplatser i resultaten och webbläsare varnar besökare innan de går in, vilket båda minskar trafiken dramatiskt. En säkerhetsincident kan skada det förtroende och den synlighet som en webbplats har byggt upp permanent. Med WEMASY:s webbplatsbyggare kan du ställa in det direkt på din webbplats.
Behöver alla webbplatser säkerhet?
Ja. Automatiska attacker skannar internet hela tiden efter sårbarheter och väljer inte ut webbplatser efter storlek eller trafik. Alla webbplatser som är offentligt tillgängliga är möjliga mål. Följderna av ett intrång, som förlorad data, varningar om skadlig kod i sökresultaten, driftstopp och juridiskt ansvar, är desamma oavsett webbplatsens storlek eller syfte.
Påverkar webbplatssäkerhet SEO?
Ja, direkt. HTTPS är en bekräftad rankingsignal, vilket betyder att webbplatser som levereras säkert har en rankingfördel jämfört med HTTP-webbplatser. Dessutom får webbplatser som sökmotorer flaggar för skadlig kod varningsetiketter i sökresultaten som sänker klickfrekvensen till nära noll. Säkerhetsvarningar i webbläsaren stoppar besökare innan de når sidan. En säkerhetsincident kan ta bort en webbplats helt från sökresultaten tills problemet är löst och granskat.
Vilken är den viktigaste säkerhetsåtgärden för en webbplats?
HTTPS via ett SSL-certifikat är den lägsta nivån. Utan det skickas data från formulär i klartext och webbläsare markerar webbplatsen som osäker. Utöver det är stark autentisering på administratörskonton och att hålla all programvara uppdaterad de två åtgärder som förhindrar de flesta vanliga attackerna. Regelbundna säkerhetskopior är reservplanen som begränsar skadan när andra åtgärder brister.
Hur vet jag om min webbplats har hackats?
Vanliga tecken är att besökare rapporterar oväntade omdirigeringar till andra webbplatser, att sökresultat visar okända sidor eller varningar, att webbplatsen laddas märkbart långsammare än vanligt, att innehåll dyker upp som webbplatsägaren inte har lagt dit eller att du är utelåst från administrationspanelen. Många attacker är utformade för att vara osynliga för webbplatsägaren medan de drabbar besökarna, så det är viktiga vanor att regelbundet kontrollera rapporter från säkerhetsskanningar och följa sökprestandan efter ovanliga fall.
Vad är skillnaden mellan webbplatssäkerhet och säkerhet hos webbhotellet?
Säkerhet hos webbhotellet handlar om skydd på infrastrukturnivå, bland annat server, nätverk och datacenter. Webbplatssäkerhet handlar om skydd på webbplatsnivå, bland annat applikationskod, autentiseringssystem och konfiguration. Båda är viktiga. En säker hostingmiljö skyddar inte en webbplats med svaga lösenord eller föråldrad programvara, och stark säkerhet på webbplatsnivå kan inte väga upp en hostingleverantör med dålig infrastruktur.