Certyfikat SSL i bezpieczeństwo strony firmowej

Kłódka przy adresie strony to nie jest kosmetyczny detal — to jeden z tych elementów, które klient zauważa dopiero, gdy go zabraknie, a wtedy zwykle zamyka kartę. Poniżej, co faktycznie stoi za tą kłódką i co jeszcze warto mieć zabezpieczone.

Czym jest SSL i dlaczego to nie opcja

Certyfikat SSL szyfruje połączenie między przeglądarką klienta a serwerem strony. Bez niego przeglądarki (Chrome, Firefox) same wyświetlają ostrzeżenie „Niezabezpieczona" tuż przy adresie — to widzi każdy odwiedzający, niezależnie od tego, czy strona ma formularz kontaktowy, czy tylko wizytówkę. Google od lat oficjalnie liczy HTTPS jako czynnik rankingowy — niewielki, ale przy równych innych warunkach działa na korzyść strony, która go ma.

Dziś to standard wliczony w hosting w każdym rozsądnym pakiecie — jeśli Twoja strona go nie ma, to zwykle znak, że coś w konfiguracji hostingu zostało pominięte, a nie że to dodatkowy koszt do rozważenia.

Wymuszone przekierowanie na HTTPS

Sam certyfikat nie wystarczy, jeśli strona nadal odpowiada też pod http://. Bez wymuszonego przekierowania Google widzi dwie wersje tej samej strony, co rozmywa jej pozycję, a linki wysyłane przez klientów („zobacz naszą stronę: http://firma.pl") lądują na niezaszyfrowanej wersji.

Nagłówki bezpieczeństwa — niewidoczne, ale ważne

Poza samym SSL istnieje zestaw nagłówków HTTP, które serwer wysyła przy każdej odpowiedzi i które nie są widoczne dla odwiedzającego, ale ograniczają, co obcy kod może zrobić na Twojej stronie:

• HSTS — mówi przeglądarce, żeby przez rok pamiętała, że strona jest wyłącznie HTTPS, i nigdy nawet nie próbowała wersji niezaszyfrowanej.
• X-Frame-Options — blokuje osadzenie Twojej strony w niewidocznej ramce na cudzej stronie (tzw. clickjacking).
• X-Content-Type-Options — nie pozwala przeglądarce „zgadywać" typu pliku inaczej, niż deklaruje serwer.
• Content-Security-Policy — określa wprost, z jakich źródeł strona może w ogóle wczytywać skrypty; wstrzyknięty złośliwy <script> z obcej domeny po prostu nie zostanie wykonany.

Klient tego nie zobaczy gołym okiem, ale to dokładnie ten rodzaj zabezpieczeń, który sprawia różnicę, gdy ktoś faktycznie spróbuje coś na stronie przechwycić czy podmienić.

Aktualizacje i formularze

Jeśli strona ma panel do logowania albo działa na popularnym systemie (WordPress i podobne), regularne aktualizacje wtyczek i rdzenia systemu to najprostsza rzecz, która zapobiega większości włamań — większość ataków na małe strony to nie wyrafinowane hakowanie, tylko automatyczne skanowanie w poszukiwaniu starej, dziurawej wersji wtyczki.

Jak to wygląda u nas

Każda strona, którą stawiamy, ma HTTPS, wymuszone przekierowanie i pełny komplet nagłówków bezpieczeństwa od pierwszego dnia — nie jako płatny dodatek, tylko standard wdrożenia. Budujemy w technologii generującej statyczne pliki, więc znika też cała klasa zagrożeń typowych dla systemów z bazą danych i panelem logowania wystawionym publicznie.

Sprawdź bezpłatny mini-audyt swojej strony — powiemy wprost, czego jej brakuje.