Kiçik biznesin saytını niyə sındırsınlar?

Hücumların böyük hissəsi avtomatlaşdırılmışdır: botlar internetdə köhnə plaginləri və zəif parolları axtarır və hədəfin kim olduğuna baxmır. Sındırılmış sayt spam göndərmək, fırıldaqçı səhifələr yerləşdirmək və ya ziyarətçilərə zərərli kod yaymaq üçün istifadə olunur.

SSL sertifikatı saytı tam qoruyurmu?

Xeyr. SSL istifadəçi ilə sayt arasındakı məlumatı şifrələyir, amma saytın özünü sındırılmaqdan qorumur. Yeniləmələr, güclü parollar, iki faktorlu giriş və ehtiyat nüsxələr də lazımdır.

Ehtiyat nüsxəni nə qədər tez-tez çıxarmaq lazımdır?

Bu, saytın nə qədər tez dəyişməsindən asılıdır. Sifariş qəbul edən e-ticarət saytı üçün gündəlik, nadir yenilənən korporativ sayt üçün həftəlik nüsxə ağlabatandır. Nüsxələr saytın serverindən ayrı yerdə saxlanmalı və bərpası sınanmalıdır.

Sayt sındırılıbsa, nə etməli?

Bütün parolları dəyişin, saytı müvəqqəti bağlayın və ya texniki xidmət rejiminə keçirin, təmiz ehtiyat nüsxədən bərpa edin, zəifliyi aradan qaldırın və hostinq təminatçısına məlumat verin. Müştəri məlumatları sızıbsa, hüquqi öhdəlikləri mütəxəssislə dəqiqləşdirin.

Sayt təhlükəsizliyi: 10 vacib addım

Sayt təhlükəsizliyi üçün 10 vacib addım bunlardır: SSL sertifikatı, sistemin və plaginlərin vaxtında yenilənməsi, güclü parollar, iki faktorlu giriş, giriş hüquqlarının məhdudlaşdırılması, avtomatik ehtiyat nüsxələr, admin panelin qorunması, veb tətbiq firewall-u (WAF), formaların spam və hücumlardan qorunması, monitorinq. Bu addımlar hücumların böyük hissəsinin qarşısını alır, çünki botlar əsasən köhnə proqram təminatı və zəif parollar axtarır.

Qısa cavab: Təhlükəsizlik bir dəfəlik iş deyil, gündəlik gigiyenadır. Saytı yeniləyin, güclü parol və iki faktorlu giriş işlədin, ehtiyat nüsxələri ayrı yerdə saxlayın və bərpanı sınayın — bu dörd addım ən çox rast gəlinən riskləri əhəmiyyətli dərəcədə azaldır.

Niyə kiçik saytlar da hədəfdir

Bir çox biznes sahibi düşünür: «Mənim saytım kimə lazımdır?» Amma hücumların çoxu avtomatlaşdırılmışdır. Botlar minlərlə saytı yoxlayır və zəifliyi olanı sındırır. Sındırılmış sayt:

spam e-poçt göndərmək üçün istifadə oluna bilər;
fırıldaqçı ödəniş səhifələri yerləşdirə bilər;
ziyarətçilərə zərərli kod yaya bilər;
Google tərəfindən «təhlükəli sayt» kimi işarələnə bilər, bu isə axtarış trafikini kəsir.

10 vacib addım

1. SSL sertifikatı və HTTPS

Bütün sayt HTTPS ilə açılmalıdır, təkcə ödəniş səhifəsi yox. HTTP-dən HTTPS-ə avtomatik yönləndirmə qurun. Bir çox hostinq pulsuz sertifikat (məsələn, Let's Encrypt) təklif edir.

Açılmış noutbuk sərt diski — Ehtiyat nüsxə ayrı yerdə saxlanmalıdır Foto: Evan-Amos · CC BY-SA 3.0

2. Vaxtında yeniləmələr

CMS, mövzular, plaginlər və server proqramları yenilənməlidir. Xüsusən WordPress saytlarında köhnə plaginlər ən çox istifadə olunan hücum yoludur.

İstifadə olunmayan plagin və mövzuları silin.
Plaginləri yalnız etibarlı mənbədən yükləyin.
«Pulsuz» versiyası yayılan pullu plaginlərdən qaçın: onlarda tez-tez zərərli kod olur.

3. Güclü və unikal parollar

Hər hesab üçün uzun, unikal parol. Parol menecerindən istifadə edin. «admin / 123456» kimi kombinasiyalar botların ilk sınadığı variantlardır.

4. İki faktorlu giriş (2FA)

Admin panel, hostinq, domen qeydiyyatçısı və e-poçt üçün 2FA aktivləşdirin. Parol oğurlansa belə, ikinci faktor olmadan giriş mümkün olmayacaq.

5. Giriş hüquqlarını məhdudlaşdırın

Hər əməkdaşa yalnız işi üçün lazım olan hüquqları verin. Kontent menecerə administrator hüququ lazım deyil. İşdən çıxan əməkdaşın və ya müqaviləsi bitən podratçının hesablarını dərhal bağlayın.

6. Avtomatik ehtiyat nüsxələr

Ehtiyat nüsxə son müdafiə xəttidir.

Sayt tipi	Tövsiyə olunan tezlik	Saxlama yeri
E-ticarət, sifariş qəbulu	Gündəlik	Serverdən ayrı bulud yaddaşı
Bloq, tez-tez yenilənən sayt	Bir neçə gündən bir	Ayrı yaddaş
Nadir yenilənən korporativ sayt	Həftəlik	Ayrı yaddaş

Ən vacib qayda: bərpanı sınayın. Heç vaxt bərpa edilməmiş ehtiyat nüsxə — ehtiyat nüsxə deyil.

7. Admin paneli qoruyun

Standart admin ünvanını dəyişin və ya girişə IP məhdudiyyəti qoyun.
Uğursuz giriş cəhdlərini məhdudlaşdırın.
Admin hesabının adı «admin» olmasın.

8. Veb tətbiq firewall-u (WAF) və CDN

WAF zərərli sorğuları sayta çatmadan bloklayır. Cloudflare kimi xidmətlər həm CDN, həm də əsas qoruma (DDoS, bot filtrləri) təklif edir. Bu, saytın sürətinə də müsbət təsir göstərə bilər.

9. Formaları qoruyun

Əlaqə və sifariş formaları spam və hücum üçün açıq qapıdır.

CAPTCHA və ya görünməz bot yoxlaması (honeypot).
Daxil edilən məlumatın server tərəfində yoxlanılması.
Fayl yükləmə sahələrində fayl tipi və ölçü məhdudiyyəti.

10. Monitorinq və planlaşdırılmış yoxlama

Saytın əlçatanlığını izləyən xidmət (sayt dayananda bildiriş).
Google Search Console-da təhlükəsizlik bildirişlərinə baxın.
Ayda bir dəfə istifadəçi siyahısını, plaginləri və ehtiyat nüsxələri yoxlayın.

Şəxsi məlumatların qorunması

Sayt müştərilərin adını, telefonunu, ünvanını və ya ödəniş məlumatını qəbul edirsə, məsuliyyət artır. Kart məlumatlarını öz serverinizdə saxlamayın — ödəniş bankın və ya ödəniş təminatçısının səhifəsində aparılmalıdır. Şəxsi məlumatlarla bağlı hüquqi tələbləri isə hüquqşünasla dəqiqləşdirin və saytda məxfilik siyasəti yerləşdirin.

Aylıq təhlükəsizlik yoxlama siyahısı

Bütün yeniləmələr quraşdırılıbmı?
Son ehtiyat nüsxə nə vaxt çıxarılıb və bərpası yoxlanılıbmı?
Admin istifadəçilər siyahısında artıq hesab varmı?
SSL sertifikatının müddəti nə vaxt bitir?
Domen qeydiyyatının müddəti nə vaxt bitir?
Search Console-da təhlükəsizlik xəbərdarlığı varmı?
Formalarda spam artımı müşahidə olunurmu?

Domenin vaxtında yenilənməməsi də ciddi risk yaradır — ətraflı domen və hostinq seçimi yazısında. Texniki sağlamlığın digər tərəfləri üçün texniki SEO yoxlama siyahısına baxın.

Nümunə hesablama: dayanmanın qiyməti

Tutaq ki, onlayn mağaza gündə orta hesabla 1200 AZN satış edir. Sayt sındırılır və ehtiyat nüsxə olmadığı üçün bərpa 3 gün çəkir.

Birbaşa itki: 3 × 1200 = 3600 AZN satış.
Üstəlik: bərpa xərci, reklam büdcəsinin boşa getməsi, müştəri etibarının itməsi.

Gündəlik avtomatik ehtiyat nüsxə ilə bərpa bir neçə saata enə bilər. Rəqəmlər hipotetikdir, amma profilaktikanın dayanmadan ucuz olduğunu göstərir.

Komandanın təhlükəsizlik vərdişləri

Texniki tədbirlər nə qədər güclü olsa da, hücumların bir hissəsi insanlar vasitəsilə baş verir. Fişinq e-poçtları, saxta «hostinq bildirişləri» və ya WhatsApp-da gələn «parolunuzu təsdiqləyin» mesajları ilə giriş məlumatları oğurlanır.

Qaranlıqda rəngli işıqlanan noutbuk — Komandada güclü parol və iki faktorlu giriş vərdişi Foto: Wesson Wang · CC0

Admin girişlərini e-poçtdakı linklərdən yox, birbaşa ünvandan edin.
Parolları WhatsApp və ya e-poçt ilə göndərməyin; parol menecerinin paylaşma funksiyasından istifadə edin.
Podratçılara müvəqqəti hesab verin və iş bitəndə bağlayın.
İctimai Wi-Fi şəbəkələrində admin panelə daxil olmayın.
Komandaya ildə bir dəfə qısa təlim keçin: fişinqi necə tanımaq olar.

Hostinq seçiminin təhlükəsizliyə təsiri

Ucuz və köhnə hostinq tez-tez təhlükəsizlik riskidir: köhnə PHP versiyası, paylaşılan serverdə qonşu saytların infeksiyası, ehtiyat nüsxə xidmətinin olmaması. Hostinq seçərkən soruşun:

Serverdə proqram təminatı müntəzəm yenilənirmi?
Avtomatik ehtiyat nüsxə xidməti varmı və nüsxələr harada saxlanılır?
Zərərli kod skanı və bloklanma mexanizmi varmı?
Hər sayt digərlərindən təcrid olunubmu?
Texniki dəstək hansı dildə və nə qədər tez cavab verir?

Statik saytlar (məsələn, generator ilə yığılıb CDN üzərindən paylanan saytlar) verilənlər bazası və admin panel olmadığı üçün hücum səthi kiçik olan variantdır. Kontent idarəetməsi lazımdırsa, bu yanaşmanı ayrıca CMS ilə birləşdirmək mümkündür.

Nəticə

Sayt təhlükəsizliyi mürəkkəb texnologiyadan çox, nizam-intizam məsələsidir: yeniləmə, güclü parol, iki faktorlu giriş, ayrı saxlanan və sınanmış ehtiyat nüsxə, qorunan admin panel və müntəzəm yoxlama. Bu 10 addımı tətbiq etmək biznesinizi həm maddi, həm də reputasiya itkisindən qoruyur. Saytınızın texniki baxımı və təhlükəsizliyi üçün İT və avtomatlaşdırma xidmətimizə baxın və ya audit üçün Odeo Agency ilə əlaqə saxlayın.