אבטחה ונגישות
אבטחת אתרים וגיבוי אתר: איך אתרים של עסקים קטנים נפרצים, ומה עוצר את זה
5 דקות קריאה · צוות SiteClub
הטלפון מצלצל בבוקר: "נכנסתי לאתר מהנייד והוא העביר אותי לאתר הימורים". את השיחה הזו אנחנו מכירים טוב. אבטחת אתרים לעסק קטן לא דורשת מומחה סייבר, אבל היא כן דורשת שמישהו יעדכן את האתר באופן קבוע, ושיהיה גיבוי אתר שבאמת אפשר לשחזר ממנו. כמעט כל פריצה שראינו הייתה נמנעת, או נגמרת תוך שעה, אם שני הדברים האלה היו במקום.
"האתר שלי קטן, למי הוא מעניין?"
לאף אחד. וזו בדיוק הבעיה.
רוב הפריצות לאתרים של עסקים קטנים לא מכוונות אליכם. הן מגיעות מתוכנות אוטומטיות שסורקות את האינטרנט כל הזמן ומחפשות פרצה מוכרת. הן לא יודעות שאתם קליניקה בפתח תקווה או מסעדה בבאר שבע, ולא אכפת להן. הן מוצאות דלת פתוחה ונכנסות.
מה הן עושות עם האתר? משתמשות בו לשליחת ספאם, להפניית גולשים לאתרים מפוקפקים, או להוספת מאות עמודים מזויפים שגוגל מאנדקס. אתם מגלים את זה כשגוגל מציג אזהרה אדומה, כשספק האחסון חוסם את החשבון, או כשלקוח מתקשר.
איך אתרי וורדפרס נפרצים בפועל
וורדפרס עצמה מערכת סבירה מבחינת אבטחה. מה שנפרץ, כמעט תמיד, הוא מה שמסביב לה.
תוסף שאף אחד לא עדכן
זה הסיפור הקלאסי. מישהו התקין לפני שלוש שנים תוסף לפופאפ או לגלריה, הקמפיין נגמר, והתוסף נשאר. בינתיים התגלתה בו חולשה, היצרן שחרר תיקון, ואף אחד לא התקין אותו. מרגע שחולשה מתפרסמת, הבוטים מתחילים לחפש אתרים שעוד לא עודכנו, לפעמים תוך ימים ספורים.
גרוע מזה: תוספים שהמפתח שלהם פשוט הפסיק לתחזק. הם לא יקבלו עדכון אף פעם, ולכן הדרך היחידה להיות מוגנים היא להחליף אותם.
תבנית "פרימיום" שהורדה בחינם
אנחנו רואים את זה יותר ממה שהייתם מצפים. תבנית שעולה כמה עשרות דולרים, שמישהו הוריד מאתר פירטי כדי לחסוך. הרבה פעמים היא מגיעה עם קוד זדוני מובנה, מוכן מהיום הראשון.
גישות שנשארו פתוחות
משתמש "admin" עם סיסמה ששווה לשם העסק. בונה האתר הקודם, שעדיין יש לו הרשאות מנהל. פרילנסר שעבד פעם אחת על הדף ולא נמחק. כל אחד מהם הוא דלת. ואם הסיסמה שלו דלפה משירות אחר, מישהו כבר ינסה אותה אצלכם.
איך תדעו שמשהו לא בסדר
פריצות טובות שקטות. הסימנים הנפוצים: עמודים ביפנית או בשפות זרות שמופיעים בחיפוש בגוגל על שם העסק, הפניה לאתר אחר שקורית רק בנייד (כדי שבעל האתר במחשב לא ישים לב), משתמשי מנהל חדשים שאתם לא מכירים, או מייל מספק האחסון על שימוש חריג.
הכלי הכי פשוט כאן הוא Google Search Console. הוא חינמי, וגוגל ישלח לכם הודעה אם הוא מזהה באתר תוכן זדוני. אם האתר שלכם לא מחובר אליו, זה הדבר הראשון שכדאי לסדר השבוע.
גיבוי אתר שאפשר לסמוך עליו
"יש לנו גיבוי" הוא אחד המשפטים הכי מטעים בתחום. כמעט לכל אתר יש איזשהו גיבוי. השאלה היא אם ביום רע אפשר לחזור ממנו לאתר תקין. מדיניות גיבוי רצינית עונה על ארבע שאלות:
•
כל כמה זמן? לאתר עסקי, גיבוי יומי אוטומטי. בחנות שבה נכנסות הזמנות כל יום, זה המינימום.
•
איפה? עותק אחד לפחות מחוץ לשרת של האתר. גיבוי שיושב על אותו שרת נעלם יחד איתו כשהשרת נפגע או נפרץ.
•
כמה זמן אחורה? לדעתנו כ-30 יום. פריצה מתגלה לפעמים רק אחרי שבועיים, ואז הגיבוי של אתמול כבר נגוע.
•
האם השחזור נבדק? גיבוי שאף פעם לא שוחזר הוא הימור.
על הסעיף האחרון רוב האנשים מדלגים. קרה לנו לא פעם שלקוח חדש הגיע עם "גיבוי מלא", ובפועל התברר שנשמרו רק הקבצים, בלי מסד הנתונים. כלומר בלי הטקסטים, בלי ההזמנות ובלי ההגדרות. אנחנו ממליצים לשחזר מדי כמה חודשים לסביבת בדיקה, ולוודא שהאתר עולה, התמונות במקום והטפסים שולחים.
טיפ: שאלו את ספק האחסון שלכם שאלה אחת פשוטה: "אם האתר נפרץ מחר בבוקר, תוך כמה זמן ומאיזה תאריך אתם משחזרים, ומי עושה את זה?" התשובה תגיד לכם יותר מכל דף מפרט.
היסודות שחייבים להיות במקום
אין פה קסם, וזה לא רשימה ארוכה. תעודת SSL, שהיום קיימת בחינם ומתחדשת אוטומטית אצל כל ספק רציני. עדכון קבוע של וורדפרס, התבנית והתוספים, עם בדיקה שהעדכון לא שבר משהו. מחיקת תוספים שלא בשימוש. חומת אש ברמת השרת או כתוסף אבטחה מוכר, שחוסמת ניסיונות ניחוש סיסמאות ותעבורה חשודה.
ואימות דו-שלבי. לא רק בכניסה לניהול האתר, אלא גם בחשבון הדומיין, בחשבון האחסון ובמייל העסקי. מי שמשתלט על המייל שלכם יכול לאפס משם כמעט כל סיסמה אחרת.
SSL לבדו, אגב, לא הופך אתר למאובטח. הוא מצפין את הדרך בין הגולש לאתר, אבל לא סוגר תוסף פרוץ. בחירת אחסון אתרים מנוהל עוזרת כאן הרבה, כי חלק מהיסודות האלה נעשים ברמת השרת.
הטעויות שאנחנו רואים הכי הרבה
הטעות הכי נפוצה היא לא טכנית בכלל: אף אחד לא יודע מי אחראי. בעל העסק חושב שבונה האתר מעדכן, בונה האתר חושב שספק האחסון מטפל, וספק האחסון מוכר שטח בשרת ולא נוגע בתוכן. ככה אתר עומד שנתיים בלי עדכון.
הטעות השנייה: לחכות עם עדכונים "כי פעם עדכון שבר את האתר". זה קורה, ולכן מעדכנים אחרי גיבוי ובודקים. לא מעדכנים בכלל זה סיכון גדול בהרבה.
והשלישית: להחזיק באותו חשבון אחסון אתר ישן ונטוש לצד האתר הפעיל. פריצה לאתר הישן עוברת בקלות גם לחדש.
במנוי של SiteClub, למשל, עדכוני המערכת, גיבוי יומי שנשמר 30 יום, SSL, חומת אש וניטור 24/7 הם חלק מהחבילה, כך שהשאלה "מי אחראי" פשוט לא עולה. אם אתם משווים הצעות, כדאי לבדוק בכל אחת מה כלול, ולקרוא גם את כמה עולה לבנות אתר לעסק.
האתר נפרץ. מה עושים עכשיו
1.
מחליפים סיסמאות לניהול האתר, לאחסון, לדומיין ולמייל, ומוחקים משתמשים לא מוכרים.
2.
משחזרים מגיבוי נקי מלפני הפריצה, לא מהגיבוי האחרון.
3.
מעדכנים הכול ומוחקים את התוסף או התבנית שדרכם נכנסו, אחרת הפריצה תחזור תוך ימים.
4.
מבקשים מגוגל בדיקה חוזרת דרך Search Console, אם האתר סומן כמסוכן.
בלי ידע טכני, אל תנסו לנקות קבצים לבד. נוזקה שנשאר ממנה שריד קטן אחד חוזרת.
שאלות נפוצות
ספק האחסון שלי אומר שהוא מגבה. זה מספיק?
לא בהכרח. בררו כל כמה זמן מתבצע הגיבוי, כמה ימים אחורה הוא נשמר, האם עותק נשמר מחוץ לשרת, והאם הוא כולל גם את מסד הנתונים. שאלו גם מי מבצע את השחזור והאם הוא כרוך בתשלום. לפעמים גיבוי של ספק נשמר ימים ספורים בלבד.
כל כמה זמן צריך לעדכן תוספים בוורדפרס?
עדכוני אבטחה כדאי להתקין מוקדם ככל האפשר, רצוי תוך ימים ספורים מהפרסום. שאר העדכונים אפשר לרכז לבדיקה שבועית קבועה. תמיד מעדכנים אחרי שיש גיבוי עדכני, ובודקים את האתר מיד אחרי.
האם תעודת SSL מספיקה כדי שהאתר יהיה מאובטח?
לא. SSL מצפין את המידע שעובר בין הגולש לאתר ומונע את אזהרת "לא מאובטח" בדפדפן. הוא לא מונע פריצה דרך תוסף לא מעודכן, סיסמה חלשה או משתמש ישן שנשאר עם הרשאות. הוא רכיב אחד מתוך כמה.
איך יודעים אם האתר שלי נפרץ?
חפשו בגוגל את שם האתר עם המילה site: ובדקו אם מופיעים עמודים שלא כתבתם. היכנסו לאתר מהנייד, בדקו את רשימת המשתמשים בניהול, וחברו את האתר ל-Google Search Console, שמתריע על בעיות אבטחה שגוגל מזהה.
רוצים אתר בלי כאב ראש?
אתר תדמית ב-₪320 לחודש או חנות ב-₪650. בלי מקדמה, עם אחסון, דומיין, גיבויים ותחזוקה לשלוש שנים.