Ensimmäinen merkki siitä, että sivuston tietoturva on pettänyt, ei usein ole mitään, minkä sivuston omistaja huomaa lainkaan. Kävijät kohtaavat varoituksia, ohjautuvat tuntemattomille sivuille tai huomaavat tietojensa vaarantuneen, vaikka sivusto näyttää pinnalta toimivan normaalisti. Sivuston tietoturva tarkoittaa toimenpiteitä, jotka suojaavat sivustoa luvattomalta pääsyltä, tietovarkauksilta, haittaohjelmilta ja käyttökatkoilta. Tämä artikkeli käsittelee, miksi tietoturva on tärkeää kaikille sivustoille koosta tai tarkoituksesta riippumatta, miltä yleisimmät uhkat näyttävät ja mitä perussuojauksia jokaisella sivustolla pitäisi olla.
Automaattiset hyökkäykset eivät arvioi sivustoa ennen kuin ne kohdistuvat siihen. Ne skannaavat internetiä jatkuvasti etsien tunnettuja haavoittuvuuksia hyödynnettäväksi sivuston koosta, toimialasta tai liikennemäärästä riippumatta. Ero murrettujen ja murtamattomien sivustojen välillä ei juuri koskaan johdu siitä, kuinka näkyvä sivusto on. Se johtuu lähes aina käytössä olevista tietoturvatoimista.
Mitä turvattomalle sivustolle voi tapahtua?
Sivuston tietoturvan pettäminen ei aina ole dramaattista. Se jää usein sivuston omistajalta huomaamatta, vaikka se aiheuttaa merkittävää vahinkoa kävijöille, maineelle ja hakunäkyvyydelle.
Tietovarkaus
- Jos sivustosi kerää kävijöiden tietoja, kuten yhteydenottolomakkeiden lähetyksiä, sähköpostiosoitteita tai maksutietoja, turvaton sivusto vaarantaa nuo tiedot
- Tietomurto, joka paljastaa kävijöiden tiedot, aiheuttaa oikeudellisen vastuun erityisesti alueilla, joilla tietosuojalait edellyttävät henkilötietojen turvallista käsittelyä
- Kävijät, jotka huomaavat tietojensa paljastuneen sivustosi kautta, eivät todennäköisesti palaa
Haittaohjelman injektointi
- Hyökkääjät, jotka pääsevät sivustolle käsiksi, voivat injektoida haitallista koodia, joka toimii hiljaa taustalla
- Tämä koodi voi ohjata kävijät vilpillisille sivuille, näyttää ei-toivottuja mainoksia, varastaa kirjautumistietoja tai käyttää sivustoa muiden kohteena olevien hyökkäysten tekemiseen
- Sivuston omistaja ei usein tiedä tästä mitään, ennen kuin kävijä ilmoittaa asiasta tai tietoturvaskanneri liputtaa sen
Sivuston ulkoasun vaihtaminen (defacement)
- Jotkin hyökkäykset korvaavat sivuston sisällön hyökkääjän omalla viestillä, kuvilla tai linkeillä
- Tällainen muutos on heti näkyvissä ja vahingoittaa uskottavuutta ja luottamusta
- Sivustolle, joka luottaa verkkonäkyvyyteensä kävijöiden houkuttelussa tai säilyttämisessä, tällaisesta tapauksesta toipuminen voi viedä paljon aikaa ja vaivaa
Käyttökatko
- Hyökkäykset, joilla palvelin yritetään tukahduttaa liikenteellä, voivat viedä sivuston kokonaan pois käytöstä
- Jokainen tunti, jonka sivusto on alhaalla, on menetettyä näkyvyyttä, menetettyjä liidejä ja menetettyä liikevaihtoa
- Vakavasta hyökkäyksestä toipuminen voi viedä päiviä, jos varmuuskopioita ei ole
Miten sivuston tietoturva vaikuttaa hakusijoituksiin?
Hakukoneet seuraavat aktiivisesti tietoturvaongelmia ja ottavat ne huomioon sijoituksissa ja hakunäkyvyydessä.
Haittaohjelmavaroitukset hakutuloksissa
- Kun hakukone havaitsee sivustolla haittaohjelman, se lisää hakutuloksen listaukseen varoitustunnisteen
- Kävijät, jotka näkevät varoituksen ennen klikkausta, jatkavat harvoin
- Klikkausprosentit putoavat lähes nollaan, kun tietoturvavaroituksia näytetään, riippumatta siitä, kuinka hyvin sivu sijoittuu
Selaimen tietoturvavaroitukset
- Selaimet näyttävät koko ruudun varoituksen, kun kävijä yrittää avata vaaralliseksi merkityn sivuston tai sivuston ilman HTTPS:ää
- Kävijöiden täytyy aktiivisesti valita jatkaminen näiden varoitusten ohi, eikä suurin osa tee niin
- Sivusto, joka laukaisee selainvaroituksia, menettää liikenteen jokaiselta kävijältä, joka näkee sellaisen
HTTPS sijoitussignaalina
- HTTPS, HTTP-protokollan turvallinen versio, on vahvistettu sijoitussignaali
- Sivustot, jotka tarjoavat sivut HTTP:llä HTTPS:n sijaan, ovat sijoituksissa huonommassa asemassa vastaaviin turvallisesti tarjottuihin sivuihin verrattuna
- Selaimet myös merkitsevät HTTP-sivustot osoiterivillä "Ei turvallinen", mikä heikentää kävijöiden luottamusta jo ennen mitään vuorovaikutusta
Jos haluat täyden selityksen siitä, miten HTTPS toimii ja mitä se suojaa, lue artikkeli mikä HTTPS on ja miten se suojaa sivustoasi.
Mitkä ovat yleisimmät sivuston tietoturvauhat?
Brute force -hyökkäykset
- Automaattiset työkalut kokeilevat tuhansia käyttäjätunnus- ja salasanayhdistelmiä päästäkseen sivuston hallintanäkymään
- Heikot salasanat ja rajoittamattomat kirjautumisyritykset tekevät brute force -hyökkäysten toteuttamisesta helppoa
- Kaksivaiheinen tunnistautuminen ja kirjautumisyritysten rajoitukset vähentävät tätä riskiä merkittävästi
SQL-injektio
- Hyökkääjät syöttävät haitallista koodia lomakekenttiin tai URL-parametreihin manipuloidakseen tietokantakyselyjä
- Onnistunut SQL-injektio voi paljastaa tai poistaa tietokannan sisältöä, mukaan lukien asiakastietoja
- Tämä uhka on erityisen olennainen sivustoille, joilla on hakukenttiä, kirjautumislomakkeita tai yhteydenottolomakkeita, jotka ovat vuorovaikutuksessa tietokannan kanssa
Cross-site scripting
- Haitallisia skriptejä injektoidaan sivulle, jonka muut kävijät sitten lataavat selaimiinsa
- Nämä skriptit voivat varastaa istuntoevästeitä, ohjata kävijöitä muualle tai siepata lomakesyötteitä
- Cross-site scripting on yksi verkkosovellusten yleisimmistä haavoittuvuuksista
Haittaohjelmat ja kiristysohjelmat
- Kun hyökkääjällä on pääsy sivustolle, hän voi asentaa haittaohjelman, joka toimii taustalla, kerää dataa tai salaa tiedostoja
- Kiristysohjelma lukitsee sivuston omistajat ulos omilta sivuiltaan ja vaatii maksua pääsyn palauttamiseksi
- Säännölliset varmuuskopiot ovat ensisijainen puolustus kiristysohjelmia vastaan, koska puhtaasta varmuuskopiosta palauttaminen vie hyökkääjältä vipuvarren
Vanhentuneet ohjelmistot
- Sivustojen ohjelmistojen, lisäosien ja teemojen tunnetut haavoittuvuudet julkaistaan julkisesti, kun korjaukset on julkaistu
- Sivustot, joilla on käytössä vanhentuneita versioita, ovat alttiita hyökkäyksille, jotka hyödyntävät näitä julkaistuja haavoittuvuuksia
- Ohjelmistojen pitäminen ajan tasalla on yksi yksinkertaisimmista saatavilla olevista sivuston tietoturvatoimista
Mitkä ovat perustason tietoturvatoimet, jotka jokaisella sivustolla pitäisi olla?
HTTPS ja SSL-varmenne
- Jokaisen sivuston pitäisi tarjota sivut HTTPS:n kautta, joka salaa datan siirron kävijän selaimen ja palvelimen välillä
- SSL-varmenne mahdollistaa HTTPS:n. Ilman sitä data siirretään selkokielisenä ja se voidaan siepata
- Selaimet merkitsevät sivustot ilman HTTPS:ää "Ei turvallisiksi". Kävijät eivät todennäköisesti lähetä lomakkeita tai tee ostoksia sivustolla, jolla on tällainen merkintä
Jos haluat täyden selityksen siitä, miten SSL-varmenteet toimivat ja miten sellaisen saa, lue artikkeli mikä SSL-varmenne on ja miten se toimii.
Vahva tunnistautuminen
- Ylläpitäjätilien pitäisi käyttää vahvoja, yksilöllisiä salasanoja ja kaksivaiheista tunnistautumista
- Rajoita kirjautumisyrityksiä estääksesi automaattiset brute force -työkalut
- Poista käyttämättömät ylläpitäjätilit. Jokainen aktiivinen tili heikoilla tunnuksilla on mahdollinen sisääntulopiste
Säännölliset varmuuskopiot
- Varmuuskopioiden avulla sivusto voidaan palauttaa puhtaaseen tilaan hyökkäyksen jälkeen maksamatta lunnaita tai rakentamatta tyhjästä uudelleen
- Varmuuskopiot tulisi säilyttää erillään itse sivustosta. Samalle palvelimelle tallennettu varmuuskopio menetetään, jos palvelin murretaan
- Testaa palautuksia säännöllisesti varmistaaksesi, että varmuuskopiot toimivat odotetusti
Ohjelmistopäivitykset
- Asenna päivitykset sivustoalustaan, lisäosiin, teemoihin ja kaikkiin kolmannen osapuolen integraatioihin heti, kun ne ovat saatavilla
- Päivitykset sisältävät usein tietoturvakorjauksia, jotka sulkevat edellisen julkaisun jälkeen löydetyt haavoittuvuudet
Verkkosovelluspalomuuri
- Verkkosovelluspalomuuri sijaitsee saapuvan liikenteen ja sivuston välissä ja suodattaa tunnetut haitalliset pyynnöt pois ennen kuin ne saavuttavat palvelimen
- Palomuurit voivat estää automaattisesti SQL-injektioyrityksiä, cross-site scriptingiä, bottiliikennettä ja muita yleisiä hyökkäyskuvioita
Täydellisen oppaan sivustosi suojaamiseksi luvattomalta pääsyltä ja hyökkäyksiltä löydät artikkelista miten suojaat sivustosi hakkereilta. Säännöllisten varmuuskopioiden käyttöönotosta kertoo artikkeli miten varmuuskopioit sivustosi.
Miten WEMASY hoitaa sivuston tietoturvan
WEMASY-sivustonrakentaja sisältää SSL-varmenteet jokaisessa paketissa, joten kaikki sivustot tarjotaan oletuksena HTTPS:n kautta. Erillistä käyttöönottoa tai ostoa ei tarvita. Palvelininfrastruktuuriin kuuluu palomuurisuojaus ja DDoS-suojaus verkkotasolla, mikä vähentää altistumista yleisille automaattisille hyökkäyksille ilman, että sivuston omistajan tarvitsee määrittää mitään.
WEMASY-alustalla toimivia ohjelmistoja ylläpitää ja päivittää alustatiimi, joten sivustojen omistajien ei tarvitse asentaa tietoturvakorjauksia taustalla olevaan järjestelmään. Varmuuskopiot sisältyvät ja niitä hallitaan automaattisesti, ja palautusvaihtoehdot ovat saatavilla hallintanäkymän kautta.
Katso, mitä mukana on, WEMASY-sivustonrakentajan sivulta, tai tutustu pakettivaihtoehtoihin hinnastosivulla.
Usein kysytyt kysymykset
Miksi sivuston tietoturva on tärkeää?
Sivuston tietoturva suojaa kävijöitä, sivuston dataa ja hakunäkyvyyttä kaikkia samaan aikaan. Turvatonta sivustoa voidaan käyttää kävijöiden tietojen varastamiseen, haittaohjelmien levittämiseen sillä vieraileville ihmisille tai sen viemiseen kokonaan pois käytöstä. Hakukoneet liputtavat turvattomia sivustoja tuloksissa ja selaimet varoittavat kävijöitä ennen sisäänmenoa, mikä vähentää liikennettä dramaattisesti. Tietoturvaongelma voi vahingoittaa pysyvästi sitä luottamusta ja näkyvyyttä, jonka sivusto on rakentanut. WEMASY-sivustonrakentajalla voit tehdä tämän suoraan sivustollasi.
Tarvitsevatko kaikki sivustot tietoturvaa?
Kyllä. Automaattiset hyökkäykset skannaavat internetiä jatkuvasti haavoittuvuuksien varalta, eivätkä ne kohdista sivustoihin koon tai liikenteen perusteella. Jokainen julkisesti saatavilla oleva sivusto on mahdollinen kohde. Tietomurron seuraukset, kuten menetetty data, haittaohjelmavaroitukset hakutuloksissa, käyttökatkot ja oikeudellinen vastuu, ovat samat sivuston koosta tai tarkoituksesta riippumatta.
Vaikuttaako sivuston tietoturva SEO:hon?
Kyllä, suoraan. HTTPS on vahvistettu sijoitussignaali, mikä tarkoittaa, että turvallisesti tarjotuilla sivustoilla on sijoitusetu HTTP-sivustoihin nähden. Sen lisäksi sivustot, jotka hakukoneet ovat liputtaneet haittaohjelmista, saavat hakutuloksiin varoitustunnisteita, jotka laskevat klikkausprosentit lähes nollaan. Selaimen tietoturvavaroitukset estävät kävijät ennen kuin he pääsevät sivulle. Tietoturvaongelma voi poistaa sivuston hakutuloksista kokonaan, kunnes ongelma on ratkaistu ja tarkistettu.
Mikä on tärkein sivuston tietoturvatoimi?
HTTPS SSL-varmenteen avulla on vähimmäisperusta. Ilman sitä lomakkeiden kautta lähetetty data kulkee selkokielisenä ja selaimet merkitsevät sivuston turvattomaksi. Sen lisäksi vahva tunnistautuminen ylläpitäjätileillä ja kaikkien ohjelmistojen pitäminen ajan tasalla ovat kaksi toimenpidettä, jotka estävät suurimman osan yleisistä hyökkäyksistä. Säännölliset varmuuskopiot ovat varakeino, joka rajoittaa vahinkoa, kun muut toimenpiteet pettävät.
Mistä tiedän, onko sivustoni hakkeroitu?
Yleisiä merkkejä ovat kävijöiden ilmoitukset odottamattomista ohjauksista muille sivustoille, hakutulokset, joissa näkyy tuntemattomia sivuja tai varoituksia, sivuston latautuminen huomattavasti tavallista hitaammin, sisältö, jota sivuston omistaja ei ole lisännyt, tai ulos lukittuminen hallintanäkymästä. Monet hyökkäykset on suunniteltu olemaan näkymättömiä sivuston omistajalle mutta vaikuttamaan kävijöihin, joten tietoturvaskannausraporttien säännöllinen tarkistaminen ja hakunäkyvyyden seuraaminen epätavallisten pudotusten varalta ovat tärkeitä tapoja.
Mitä eroa on sivuston tietoturvalla ja webhotellin tietoturvalla?
Webhotellin tietoturva tarkoittaa suojauksia, joita sovelletaan infrastruktuuritasolla, mukaan lukien palvelin, verkko ja konesali. Sivuston tietoturva tarkoittaa suojauksia, joita sovelletaan sivustotasolla, mukaan lukien sovelluskoodi, tunnistautumisjärjestelmät ja määritykset. Molemmilla on väliä. Turvallinen webhotelliympäristö ei suojaa sivustoa, jolla on heikot salasanat tai vanhentuneet ohjelmistot, eikä vahva sivustotason tietoturva voi korvata webhotellin tarjoajaa, jonka infrastruktuurikäytännöt ovat huonoja.