Sådan beskytter du din hjemmeside mod hackere

Rådene om at beskytte din hjemmeside mod hackere bliver ofte stillet op som en lang tjekliste. Problemet er, at ikke alle punkter på den vejer lige tungt. Et lille antal tiltag står for de fleste af de angrebsveje, der fører til rigtige indbrud, og når du ved, hvilke du skal prioritere, får du reel sikkerhed og ikke bare noget, der ligner.

Angreb mod hjemmesider er næsten helt automatiske. Scannere gennemsøger millioner af hjemmesider på én gang og leder efter kendte huller i softwareversioner, almindelige adgangskoder og konfigurationsfiler, der ligger åbne. En hjemmeside behøver ikke have meget trafik eller være kendt for at blive ramt. Den skal bare være online og køre noget med en kendt fejl. Vil du vide, hvad der står på spil, når tiltagene ikke er på plads, så læs artiklen om hvorfor hjemmesidesikkerhed er vigtig.

Sådan beskytter du din hjemmeside mod hackere med stærk godkendelse

Angreb på loginoplysninger er blandt de mest almindelige måder, angribere kommer ind på hjemmesider. En stærk adgangskode er ikke nok alene. Det, der faktisk stopper automatiske brute force-værktøjer, er en stærk adgangskode kombineret med begrænsning af antal forsøg og en ekstra faktor ved login.

Stærke og unikke adgangskoder

• Adgangskoder til administratorkonti bør være lange, tilfældige og unikke for hjemmesiden. Ikke genbrugt fra nogen anden tjeneste
• Korte adgangskoder og adgangskoder baseret på almindelige ord eller mønstre bliver afprøvet først af automatiske brute force-værktøjer, som kan prøve tusindvis af kombinationer i minuttet
• En adgangskodemanager laver og gemmer stærke adgangskoder, uden at du skal huske dem

Tofaktorlogin

• Tofaktorlogin kræver et ekstra trin til bekræftelse ud over adgangskoden, når du logger ind i administrationen
• Selv hvis en adgangskode bliver stjålet ved et databrud eller phishing, forhindrer tofaktorlogin angriberen i at bruge den uden også at have kontrol over den anden faktor
• At slå det til på alle administratorkonti er en af de enkeltændringer, der gør mest for hjemmesidens sikkerhed

Grænser for loginforsøg

• Brute force-værktøjer virker ved at prøve tusindvis af adgangskoder hurtigt efter hinanden. En grænse for antallet af mislykkede loginforsøg, før en IP-adresse bliver låst ude, stopper den metode
• Mange hjemmesideplatforme har en grænse for loginforsøg som indbygget indstilling eller gennem en sikkerhedsudvidelse

Fjern ubrugte konti

• Hver aktiv administratorkonto med en svag eller genbrugt adgangskode er en mulig indgang
• Konti, der er oprettet til tidligere medarbejdere, eksterne eller udviklere, bør fjernes, så snart de ikke længere er nødvendige

Sådan beskytter du din hjemmeside mod hackere med god softwarehygiejne

Forældet software er den mest udnyttede kategori af sårbarheder på hjemmesider. Når en sikkerhedsfejl bliver fundet og rettet, bliver detaljerne som regel offentliggjort sammen med rettelsen. Hjemmesider, der stadig kører den gamle version, er så et dokumenteret og kendt mål.

Installér opdateringer, så snart de er tilgængelige

• Opdateringer til hjemmesideplatformen, plugins, temaer og integrationer bør installeres hurtigt. De indeholder ofte sikkerhedsrettelser, og hvis du venter, bliver kendte huller stående åbne
• Når du sætter opdateringer til at køre automatisk, hvor det er muligt, undgår du risikoen for at overse en kritisk rettelse

Fjern ubrugte plugins og temaer

• Plugins og temaer, der ikke er aktive og ikke holdes opdateret, er stadig sårbare, selv når de ikke er aktive på hjemmesiden
• Når du fjerner dem, bliver der færre steder at angribe, uden at det påvirker noget på den hjemmeside, der er live

Brug kun software fra pålidelige kilder

• Plugins, temaer og udvidelser fra uofficielle kilder er en almindelig måde at sprede malware på
• Hvis du kun bruger software fra platformens officielle marked eller fra anerkendte, etablerede udviklere, mindsker du risikoen for at installere kode, der allerede er inficeret

Hvordan beskytter HTTPS din hjemmeside?

Et SSL-certifikat og HTTPS er grundkrav. De beskytter data undervejs og viser søgemaskinerne, at hjemmesiden lever op til minimumskravene til sikkerhed. Vil du vide, hvordan du sætter det op, så læs artiklen om hvad et SSL-certifikat er, og hvordan det virker.

Hvad HTTPS gør

• HTTPS krypterer data, som de besøgende sender via formularer, loginsider og betalingsforløb, så de ikke kan læses, hvis nogen opfanger dem undervejs
• SSL-certifikatet bekræfter også hjemmesidens identitet og beskytter mod nogle former for aflytning af trafik og efterligning

Hvad HTTPS ikke gør

• HTTPS forhindrer ikke angreb på selve hjemmesiden. SQL-injektion, cross-site scripting, brute force-forsøg på login og indsprøjtning af malware bliver ikke stoppet af HTTPS
• Det er ét lag af beskyttelse og ikke en erstatning for de andre

Hvordan hjælper en webapplikations-firewall?

Hvad den gør

• En webapplikations-firewall står mellem den indkommende trafik og hjemmesiden og undersøger forespørgsler, før de når serveren
• Den frasorterer forespørgsler, der svarer til kendte angrebsmønstre, herunder forsøg på SQL-injektion, indhold til cross-site scripting og trafik fra kendte skadelige kilder
• Angreb, der aldrig når serveren, kan ikke udnytte huller i hjemmesidens kode

Firewalls på netværksniveau og på applikationsniveau

• Firewalls på netværksniveau filtrerer trafik på infrastrukturniveau, før den når serveren. De leveres typisk af hostingfirmaer og CDN-udbydere
• Firewalls på applikationsniveau arbejder på hjemmesidens niveau og kan være mere præcise med, hvilke forespørgsler der skal lukkes ind, ud fra hjemmesidens indhold og adfærd
• De to typer har hver deres formål og kan bruges sammen

Hvorfor sikkerhedskopier er en del af at beskytte din hjemmeside mod hackere

Intet sikkerhedstiltag fjerner al risiko. Når noget alligevel kommer igennem, er det en ren sikkerhedskopi, der afgør, hvor hurtigt du kommer på benene, og hvor meget du mister.

Hvad sikkerhedskopier kan, som forebyggelse ikke kan

• Angreb med ransomware, der krypterer hjemmesidens filer, gør langt mindre skade, når der findes en nylig ren sikkerhedskopi. Når du gendanner fra den, mister angriberen sit pres helt
• En ren sikkerhedskopi giver også et bekræftet udgangspunkt at sammenligne med, når du skal finde ud af, hvad en angriber har ændret

Hvad gør en sikkerhedskopi brugbar

• Sikkerhedskopier skal gemmes adskilt fra hjemmesidens server. En sikkerhedskopi på den samme server bliver kompromitteret eller krypteret sammen med alt andet ved et angreb
• Hvor ofte du tager sikkerhedskopi, bør passe til, hvor ofte hjemmesiden ændres. En hjemmeside, der opdateres hver dag, har brug for daglige sikkerhedskopier
• Det er lige så vigtigt at teste, at en sikkerhedskopi faktisk kan gendannes, som at have den. En sikkerhedskopi, der fejler ved gendannelse, er ikke en sikkerhedskopi

Vil du have en samlet guide til at sætte sikkerhedskopier op og styre dem, så læs artiklen om hvordan du tager sikkerhedskopi af din hjemmeside. Og hvis der allerede er malware på din hjemmeside, så læs artiklen om hvad malware på en hjemmeside er, og hvordan du fjerner det.

Sådan klarer WEMASY beskyttelse af hjemmesider

WEMASY's hostinginfrastruktur har firewall og afbødning af DDoS-angreb på netværksniveau. SSL-certifikater er med i alle planer og bliver sat op automatisk, så alle hjemmesider leveres over HTTPS som standard. Softwareopdateringer håndteres på platformens niveau, så hjemmesidens ejer ikke selv skal rette fejl i platformens software.

Du skal stadig selv bruge en stærk, unik adgangskode til din konto og være forsigtig med, hvad du forbinder med din hjemmeside.

Se, hvad der er med, hos WEMASY Hjemmesidebygger, eller se mulighederne på siden Priser.

Ofte stillede spørgsmål