Hogyan ellenőrizd, hogy webhelyed biztonságos-e a látogatók számára

A biztonságosnak tűnő megjelenésből nem derül ki, hogy egy webhely valóban védi-e a látogatókat. Egy hasznos első ellenőrzéshez vizsgáld meg azokat a nyilvános jeleket, amelyeket a böngésző is lát: a HTTPS-t és a tanúsítvány állapotát, az átirányításokat, a biztonsági fejléceket, a DNS-rekordokat, valamint azt, hogyan kezeli az oldal az űrlapokat és a hivatkozásokat. Egy vizsgálat segíthet jelezni a látható problémákat, de nem bizonyíthatja, hogy egy webhely teljes mértékben biztonságos.

A ReadyTools Security Report több ilyen ellenőrzést is egy nyilvános jelentésben egyesít. Használd kiindulópontként, majd vizsgáld meg a figyelmeztetéseket az adott környezetben, és járj utána mindennek, ami hatással lehet a látogatókra vagy az érzékeny adatokra.

Kezdd a HTTPS-sel és az átirányításokkal

Ellenőrizd, hogy a webhely HTTPS-en keresztül töltődik-e be, és hogy a tanúsítványa érvényes-e. A HTTPS titkosítja az átvitt adatokat, és segít a látogatóknak meggyőződni arról, hogy a kívánt webhelyhez csatlakoznak. Teszteld a sima HTTP-címet is: ennek a HTTPS-verzióra kell irányítania a látogatókat, nem pedig titkosítatlan hozzáférési lehetőséget hagynia.

Ellenőrizd az átirányítás célját is. A csupasz domainről a www-s változatra történő átirányítás normális lehet, ha mindkettő ugyanahhoz a webhelyhez tartozik. Figyelmet érdemel viszont a váratlan cél, a HTTPS-ről HTTP-re történő visszairányítás, illetve az átirányítások hosszú és zavaró láncolata.

Vizsgáld meg a böngészővédelmi fejléceket

A biztonsági fejlécek utasításokat adnak a böngészőknek arról, hogyan kezeljenek egy oldalt. A jelentés többek között olyan fejléceket ellenőrizhet, mint a Content Security Policy (CSP), a Strict Transport Security (HSTS), a Referrer Policy, a tartalomtípus-védelem és a keretvédelem.

• CSP korlátozhatja, hogy egy oldal mely szkripteket és egyéb erőforrásokat töltheti be. A túl tág szabályzat kevesebb védelmet nyújthat, míg a túl szigorú szabályzat az oldal egyes részeit működésképtelenné teheti.
• HSTS arra utasítja a böngészőket, hogy a későbbi látogatások során részesítsék előnyben a HTTPS-t. Csak akkor állítsd be, ha a HTTPS megbízhatóan működik azokon a hosztneveken, amelyekre a szabályzat vonatkozni fog.
• Referrer Policy szabályozza, hogy a hivatkozó oldalra vonatkozó információkból mennyi kerüljön elküldésre más webhelyeknek.
• Keretvédelem segít szabályozni, hogy más webhelyek beágyazhatják-e az oldalt.
• X-Content-Type-Options jelezheti a böngészőknek, hogy ne próbálják meg kitalálni egy erőforrás tartalomtípusát.

Ne adj hozzá vaktában fejléceket egy pontszám javítása érdekében. Ellenőrizd, mit jelent az egyes figyelmeztetés az adott webhely beállításaiban, és teszteld a módosításokat, mielőtt széles körben alkalmaznád őket. A hibásan konfigurált szabályzat zavarhatja a jogos szkriptek, a beágyazott tartalmak vagy más funkciók működését.

Vizsgáld meg a DNS-t és az oldalszintű jeleket

A DNS-rekordok további összefüggéseket tárnak fel, de önmagukban nem döntik el, hogy egy webhely biztonságos-e. A CAA-rekordok korlátozhatják, hogy mely tanúsítványkiadó hatóságok állíthatnak ki tanúsítványokat egy domainhez. Az SPF- és DMARC-rekordok az e-mail-hitelesítéshez kapcsolódnak, míg a DNSSEC megfelelő beállítás esetén integritásvédelmet adhat a DNS-feloldáshoz.

A vizsgálat az oldal látható metaadatait, hivatkozásait, vegyes tartalomra mutató hivatkozásait és egyéb nyilvános részleteit is ellenőrizheti. Egyes ellenőrzések a webhely minden oldala helyett csak a vizsgált oldal mintáját elemzik. Ezért az egyik oldalon kapott tiszta eredmény nem garantálja, hogy minden űrlapot, szkriptet, letöltést vagy szakaszt átnéztek.

Futtasd le az ellenőrzést, és értelmezd az eredményt

1. Vizsgáld meg a nyilvános domaint. Használd a Ellenőrizd webhelyed biztonsági jeleit. lehetőséget, hogy jelentést készíts a látható információk, például a HTTPS, a TLS, a fejlécek, a DNS-környezet és a metaadatok alapján.
2. Olvasd el az egyes ellenőrzések részleteit. Ne csak az összesített pontszámot nézd, hanem azt is, mit észlelt a rendszer, valamint a hozzá kapcsolódó javaslatot. A figyelmeztetés azt jelentheti, hogy egy jel hiányzik, nem érhető el, vagy további ellenőrzést igényel. Ez önmagában nem jelenti azt, hogy a webhely rosszindulatú.
3. Állítsd fel a látogatói hatás szerinti prioritásokat. Elsőként a hibás vagy hiányzó HTTPS-t, a nem biztonságos átirányításokat, valamint a jelszavakat vagy érzékeny információkat kezelő oldalak problémáit vizsgáld meg. Ezután a webhelyért felelős személlyel együtt tekintsd át a fejlécekkel, a DNS-sel és az egyéb javaslatokkal kapcsolatos teendőket.
4. Végezd el és ellenőrizd a módosításokat. A releváns konfiguráció frissítése után teszteld az érintett oldalakat, majd frissítsd a jelentést. Az új vizsgálat megmutathatja, hogy változott-e a nyilvánosan látható jel.

A ReadyTools jelentései a webhely látható jeleit és a gyakorlati fejlesztési lehetőségeket mutatják be. Ez nem tanúsítvány, garancia, jogi audit vagy teljes körű behatolási teszt. A magas pontszám nem garantálja a biztonságot, az alacsony pontszám pedig nem bizonyítja, hogy a webhely veszélyes.

Tekints a vizsgálatra a biztonsági felülvizsgálat egyik részeként

Az automatizált, nyilvánosan elérhető ellenőrzések hasznosak a konfigurációs problémák felismerésében, de nem bizonyíthatják, hogy egy webhelyen nincsenek sérülékenységek, vagy hogy minden felhasználói interakció biztonságos. Vizsgáld át a legfontosabb oldalakat és folyamatokat, különösen a bejelentkezést és az érzékeny űrlapokat, és járj utána azoknak a megállapításoknak, amelyeket egy egyszerű külső jelentés nem tud tisztázni. A biztonsági szabályzatokat vagy érzékeny adatokat érintő módosítások esetén kérd képzett fejlesztő vagy biztonsági szakember segítségét a beállítások felülvizsgálatához.