Det første tegn på, at sikkerheden på en hjemmeside er svigtet, er ofte noget, ejeren slet ikke lægger mærke til. Besøgende møder advarsler, bliver sendt videre til ukendte sider eller oplever, at deres data er kompromitteret, mens hjemmesiden ser ud til at virke fint på overfladen. Hjemmesidesikkerhed er de foranstaltninger, der beskytter en hjemmeside mod uautoriseret adgang, datatyveri, malware og nedetid. Artiklen her handler om, hvorfor det er vigtigt for alle hjemmesider, uanset størrelse og formål, hvordan de mest almindelige trusler ser ud, og hvilken grundlæggende beskyttelse alle hjemmesider bør have.
Automatiske angreb vurderer ikke en hjemmeside, før de går efter den. De scanner hele tiden internettet og leder efter kendte sårbarheder, de kan udnytte, uanset hjemmesidens størrelse, branche eller trafik. Forskellen på de hjemmesider, der bliver kompromitteret, og dem, der ikke gør, handler sjældent om, hvor fremtrædende en hjemmeside er. Det handler næsten altid om de sikkerhedsforanstaltninger, der er på plads.
Hvad kan der ske med en usikker hjemmeside?
Brud på hjemmesidesikkerhed er ikke altid dramatiske. De går ofte ubemærket hen for ejeren, mens de gør stor skade på besøgende, omdømme og placeringer i søgemaskiner.
Datatyveri
- Indsamler din hjemmeside oplysninger om besøgende, herunder beskeder fra kontaktformularer, e-mailadresser eller betalingsoplysninger, bringer en usikker hjemmeside de data i fare
- Et brud, der afslører besøgendes data, giver juridisk ansvar, især i regioner hvor lovgivning om databeskyttelse kræver sikker håndtering af personlige oplysninger
- Besøgende, der opdager, at deres data er blevet afsløret gennem din hjemmeside, vender sjældent tilbage
Indsættelse af malware
- Angribere, der får adgang til en hjemmeside, kan indsætte skadelig kode, der kører stille i baggrunden
- Koden kan sende besøgende videre til svigagtige sider, vise uønskede annoncer, stjæle loginoplysninger eller bruge hjemmesiden til at angribe andre
- Ejeren har ofte ingen anelse om, at det sker, før en besøgende melder det, eller en sikkerhedsscanner slår alarm
Hærværk på hjemmesiden
- Nogle angreb erstatter hjemmesidens indhold med angriberens egen besked, egne billeder eller links
- Hærværk kan ses med det samme og skader troværdighed og tillid
- For alle hjemmesider, der er afhængige af deres tilstedeværelse på nettet for at tiltrække eller fastholde besøgende, kan det tage lang tid og meget arbejde at komme sig efter hærværk
Nedetid
- Angreb, der er lavet til at overvælde en server med trafik, kan tage en hjemmeside helt offline
- Hver time, en hjemmeside er nede, er tabt synlighed, tabte leads og tabt omsætning
- Det kan tage dage at komme sig efter et alvorligt angreb, hvis der ikke findes backup
Hvordan påvirker hjemmesidesikkerhed placeringerne i søgemaskiner?
Søgemaskiner holder aktivt øje med sikkerhedsproblemer og tager dem med i placeringer og synlighed i søgningen.
Advarsler om malware i søgeresultaterne
- Når en søgemaskine finder malware på en hjemmeside, sætter den en advarsel på hjemmesidens plads i søgeresultaterne
- Besøgende, der ser en advarsel, før de klikker, går sjældent videre
- CTR falder til næsten nul, når der vises sikkerhedsadvarsler, uanset hvor godt siden er placeret
Sikkerhedsadvarsler i browseren
- Browsere viser en advarsel på hele skærmen, når en besøgende prøver at åbne en hjemmeside, der er markeret som farlig, eller en hjemmeside uden HTTPS
- Besøgende skal aktivt vælge at gå videre forbi advarslerne, og det gør de fleste ikke
- En hjemmeside, der udløser advarsler i browseren, mister trafik fra hver besøgende, der ser en
HTTPS som rangeringssignal
- HTTPS, den sikre udgave af HTTP-protokollen, er et bekræftet rangeringssignal
- Hjemmesider, der leverer sider over HTTP og ikke HTTPS, er dårligere stillet i placeringerne end tilsvarende sider, der leveres sikkert
- Browsere markerer også HTTP-hjemmesider som "Ikke sikker" i adressefeltet, og det mindsker besøgendes tillid, selv før de har gjort noget
Vil du have en fuld forklaring på, hvordan HTTPS virker, og hvad det beskytter, så se artiklen om hvad HTTPS er, og hvordan det beskytter din hjemmeside.
Hvad er de mest almindelige trusler mod hjemmesidesikkerhed?
Brute force-angreb
- Automatiske værktøjer prøver tusindvis af kombinationer af brugernavne og adgangskoder for at få adgang til hjemmesidens administrationspaneler
- Svage adgangskoder og ubegrænsede loginforsøg gør brute force-angreb nemme at gennemføre
- To-faktor-godkendelse og grænser for loginforsøg mindsker risikoen betydeligt
SQL injection
- Angribere indsætter skadelig kode i formularfelter eller URL-parametre for at manipulere forespørgsler til databasen
- En vellykket SQL injection kan afsløre eller slette indholdet af databasen, herunder kundedata
- Truslen er især relevant for hjemmesider med søgefelter, loginformularer eller kontaktformularer, der arbejder sammen med en database
Cross-site scripting
- Skadelige scripts bliver indsat på en side, som andre besøgende så henter i deres browsere
- Scripts kan stjæle sessionscookies, sende besøgende videre eller opsnappe det, der skrives i formularer
- Cross-site scripting er en af de mest almindelige sårbarheder i webprogrammer
Malware og ransomware
- Når en angriber har adgang til en hjemmeside, kan vedkommende installere malware, der kører i baggrunden, indsamler data eller krypterer filer
- Ransomware låser ejere ude af deres egne hjemmesider og kræver betaling for at give adgang igen
- Regelmæssige backups er det vigtigste forsvar mod ransomware, fordi en gendannelse fra en ren backup fjerner angriberens pressionsmiddel
Forældet software
- Kendte sårbarheder i hjemmesidens software, plugins og temaer bliver offentliggjort, når rettelserne er udgivet
- Hjemmesider med forældede versioner er sårbare over for angreb, der udnytter de offentliggjorte sårbarheder
- At holde softwaren opdateret er en af de enkleste sikkerhedsforanstaltninger, du kan tage
Hvilke grundlæggende sikkerhedsforanstaltninger bør alle hjemmesider have?
HTTPS og et SSL-certifikat
- Alle hjemmesider bør levere sider over HTTPS, som krypterer data undervejs mellem den besøgendes browser og serveren
- Et SSL-certifikat er det, der gør HTTPS muligt. Uden et sendes data i klartekst og kan opsnappes
- Browsere markerer hjemmesider uden HTTPS som "Ikke sikker". Besøgende sender sjældent formularer eller køber noget på en hjemmeside med den markering
Vil du have en fuld forklaring på, hvordan SSL-certifikater virker, og hvordan du får et, så se artiklen om hvad et SSL-certifikat er, og hvordan det virker.
Stærk godkendelse
- Administratorkonti bør bruge stærke, unikke adgangskoder og to-faktor-godkendelse
- Begræns loginforsøg for at stoppe automatiske brute force-værktøjer
- Fjern administratorkonti, der ikke bruges. Hver aktiv konto med svage loginoplysninger er en mulig indgang
Regelmæssige backups
- Med backups kan en hjemmeside gendannes til en ren tilstand efter et angreb uden at betale løsesum eller bygge den forfra
- Backups bør gemmes adskilt fra selve hjemmesiden. En backup på den samme server går tabt, hvis serveren bliver kompromitteret
- Test gendannelse med jævne mellemrum for at sikre, at backups virker, som de skal
Softwareopdateringer
- Installer opdateringer til hjemmesidens platform, plugins, temaer og alle tredjepartsintegrationer, så snart de er tilgængelige
- Opdateringer indeholder ofte sikkerhedsrettelser, der lukker sårbarheder, som er opdaget siden forrige udgave
En web application firewall
- En web application firewall sidder mellem den indkommende trafik og hjemmesiden og filtrerer kendte skadelige forespørgsler fra, før de når serveren
- Firewalls kan automatisk blokere forsøg på SQL injection, cross-site scripting, bottrafik og andre almindelige angrebsmønstre
Vil du have en hel guide til at beskytte din hjemmeside mod uautoriseret adgang og angreb, så se artiklen om hvordan du beskytter din hjemmeside mod hackere. Vil du vide, hvordan du sætter regelmæssige backups op, så se artiklen om hvordan du tager backup af din hjemmeside.
Sådan håndterer WEMASY hjemmesidesikkerhed
WEMASYs hjemmesidebygger har SSL-certifikater med på alle planer, så alle hjemmesider som standard leveres over HTTPS. Der er ingen separat opsætning eller separat køb. Hostingens infrastruktur har beskyttelse med firewall og afbødning af DDoS-angreb på netværksniveau, så udsatheden over for almindelige automatiske angreb er mindre, uden at ejeren skal sætte noget op.
Softwaren, der kører på WEMASY-platformen, vedligeholdes og opdateres af platformens team, så ejere af hjemmesider ikke selv skal installere sikkerhedsrettelser til det underliggende system.
Se, hvad der er med, hos WEMASYs hjemmesidebygger, eller se planerne på siden med priser.
Ofte stillede spørgsmål
Hvorfor er hjemmesidesikkerhed vigtig?
Hjemmesidesikkerhed beskytter besøgende, hjemmesidens data og synligheden i søgningen på én gang. En usikker hjemmeside kan bruges til at stjæle besøgendes data, sprede malware til folk, der besøger den, eller blive taget helt offline. Søgemaskiner markerer usikre hjemmesider i resultaterne, og browsere advarer besøgende, før de kommer ind, og begge dele mindsker trafikken dramatisk. En sikkerhedshændelse kan skade den tillid og synlighed, en hjemmeside har opbygget, varigt. Med WEMASYs hjemmesidebygger kan du sætte det op direkte på din hjemmeside.
Har alle hjemmesider brug for sikkerhed?
Ja. Automatiske angreb scanner hele tiden internettet efter sårbarheder og vælger ikke hjemmesider ud fra størrelse eller trafik. Alle hjemmesider, der er offentligt tilgængelige, er et muligt mål. Følgerne af et brud, herunder tabte data, advarsler om malware i søgeresultater, nedetid og juridisk ansvar, er de samme, uanset hjemmesidens størrelse eller formål.
Påvirker hjemmesidesikkerhed SEO?
Ja, direkte. HTTPS er et bekræftet rangeringssignal, så hjemmesider, der leveres sikkert, har en fordel i placeringerne over HTTP-hjemmesider. Derudover får hjemmesider, som søgemaskiner har markeret for malware, advarsler i søgeresultaterne, og de sænker CTR til næsten nul. Sikkerhedsadvarsler i browseren stopper besøgende, før de når siden. En sikkerhedshændelse kan fjerne en hjemmeside helt fra søgeresultaterne, til problemet er løst og gennemgået.
Hvad er den vigtigste sikkerhedsforanstaltning for en hjemmeside?
HTTPS med et SSL-certifikat er det mindste, du kan nøjes med. Uden det sendes data fra formularer i klartekst, og browsere markerer hjemmesiden som ikke sikker. Derudover er stærk godkendelse på administratorkonti og at holde al software opdateret de to foranstaltninger, der forhindrer de fleste almindelige angreb. Regelmæssige backups er det sikkerhedsnet, der begrænser skaden, når andre foranstaltninger svigter.
Hvordan ved jeg, om min hjemmeside er blevet hacket?
Almindelige tegn er, at besøgende melder uventet videresendelse til andre hjemmesider, at søgeresultater viser ukendte sider eller advarsler, at hjemmesiden loader meget langsommere end normalt, at der dukker indhold op, som ejeren ikke har lagt ind, eller at du bliver låst ude af administrationspanelet. Mange angreb er lavet til at være usynlige for ejeren, mens de påvirker besøgende, så det er vigtige vaner jævnligt at tjekke rapporter fra sikkerhedsscanninger og holde øje med usædvanlige fald i søgningen.
Hvad er forskellen på hjemmesidesikkerhed og sikkerhed hos webhosting?
Sikkerhed hos webhosting handler om beskyttelse på infrastrukturniveau, herunder serveren, netværket og datacentret. Hjemmesidesikkerhed handler om beskyttelse på hjemmesidens niveau, herunder programkoden, godkendelsessystemerne og konfigurationen. Begge dele betyder noget. Et sikkert hostingmiljø beskytter ikke en hjemmeside med svage adgangskoder eller forældet software, og stærk sikkerhed på hjemmesidens niveau kan ikke veje op for en hostingudbyder med dårlig praksis for infrastrukturen.