Jak MartynForge chroni stronę Twojej firmy • MartynForge Blog

Strona małej firmy zwykle nie przechowuje tajnych planów okrętu ani milionów euro. Nie oznacza to jednak, że nikt jej nie sprawdza.

Automatyczne boty odwiedzają publiczne strony bez zaproszenia. Szukają źle zamkniętych drzwi, nieaktualnych elementów, źle skonfigurowanych formularzy i serwerów, które odpowiadają na więcej pytań, niż powinny.

Dlatego w MartynForge bezpieczeństwo nie zaczyna się dopiero po publikacji strony. Jest częścią sposobu, w jaki strona zostaje zbudowana, skonfigurowana i przetestowana.

Najważniejsze: nie musisz zostać specjalistą od cyberbezpieczeństwa. Warto jednak wiedzieć, czy osoba budująca Twoją stronę pomyślała również o tym, czego nie widać na ekranie.

Kto właściwie interesuje się stroną małej firmy?

Najczęściej nie jest to genialny haker w czarnym kapturze, który od miesięcy planuje atak na lokalnego hydraulika, fotografa albo małą firmę remontową.

Wyobraź sobie ulicę pełną małych firm.
Po zmroku jedzie nią automat i sprawdza każdą klamkę po kolei. Nie zna właścicieli. Nie obchodzi go, co jest w środku. Szuka tylko drzwi, które ktoś zostawił otwarte.

Tak działa duża część automatycznego skanowania internetu. Bot sprawdza tysiące adresów, formularzy, paneli logowania i znanych błędów. Mała firma nie musi być specjalnie wybranym celem. Wystarczy, że jej strona jest publicznie dostępna.

Co robi MartynForge?

Ogranicza automatyczny i podejrzany ruch, zanim dotrze on do właściwej strony. Legalny klient nadal widzi stronę normalnie, ale przypadkowy bot nie otrzymuje nieograniczonego dostępu tylko dlatego, że zna adres.

Od strony technicznej: zależnie od projektu mogą to być reguły zapory aplikacyjnej, filtrowanie botów, ograniczenia liczby żądań i dodatkowa weryfikacja podejrzanego ruchu.

Automatyczne boty sprawdzające różne wejścia do strony internetowej — Większość botów nie ma nic osobistego do Twojej firmy. Po prostu metodycznie sprawdzają każdą klamkę.

Szyfrowanie: koperta zamiast pocztówki

Kiedy klient otwiera stronę albo wysyła formularz kontaktowy, dane podróżują przez internet. Bez szyfrowania przypomina to wysyłanie pocztówki: wiadomość dociera do celu, ale po drodze jej treść jest łatwiejsza do podejrzenia.

HTTPS działa jak zaklejona koperta.
Osoby po drodze nadal widzą, że przesyłka istnieje, ale nie powinny móc swobodnie przeczytać jej zawartości ani jej zmienić.

Dla klienta rozpoznawalnym znakiem jest adres zaczynający się od https:// i symbol bezpiecznego połączenia w przeglądarce. Dla wykonawcy to dopiero początek: wszystkie elementy strony, formularze i przekierowania również muszą korzystać z właściwej konfiguracji.

Co robi MartynForge?

Wymusza bezpieczne połączenie, usuwa niepotrzebne przejścia przez niezabezpieczone adresy i sprawdza, czy formularze, obrazy, fonty oraz pozostałe elementy strony również ładują się bezpiecznie.

Od strony technicznej: obejmuje to między innymi certyfikat SSL/TLS, poprawne przekierowania do HTTPS i zasady, które pomagają przeglądarce trzymać się szyfrowanego połączenia.

Wiadomość internetowa zabezpieczona jak zapieczętowana koperta HTTPS — HTTPS nie ukrywa, że wysyłasz wiadomość. Sprawia jednak, że po drodze nikt nie czyta jej jak pocztówki.

DNS: internetowa mafia „kto zna kogo”

Człowiek wpisuje nazwę domeny. Komputer potrzebuje jednak konkretnego adresu serwera. Tłumaczeniem jednej informacji na drugą zajmuje się DNS.

DNS przypomina lokalną sieć kontaktów.

— Znasz MartynForge?
— Nie osobiście, ale znam kogoś, kto wie, pod jaki adres wysłać klienta.

Internet działa, bo kolejne systemy wiedzą, kogo zapytać. Trochę mafia, tylko zamiast restauracji i cygar są rekordy oraz adresy IP.

Problem zaczyna się wtedy, gdy domena prowadzi w niewłaściwe miejsce, rekordy są niepoprawne albo prawdziwy serwer zostaje niepotrzebnie wystawiony bezpośrednio na cały internet.

Co robi MartynForge?

Konfiguruje domenę i DNS tak, aby użytkownik trafiał do właściwego miejsca, a infrastruktura nie ujawniała więcej, niż jest potrzebne do działania strony.

Od strony technicznej: w zależności od projektu MartynForge może wykorzystać Cloudflare jako warstwę pomiędzy publicznym internetem a właściwym serwerem. Cloudflare jest narzędziem ochronnym, nie produktem, który klient musi samodzielnie obsługiwać.

Schemat pokazujący, jak DNS kieruje użytkownika do właściwej strony i usługi — DNS to w dużej mierze pytanie: kto zna właściwy adres i komu można ufać po drodze?

Obcy kod na liście gości

Nowoczesna strona może korzystać z własnych obrazów, fontów, skryptów, map, formularzy i zewnętrznych usług. Przeglądarka musi wiedzieć, które źródła są dozwolone.

Bez zasad recepcjonista wpuszcza każdego, kto mówi: „Jestem z internetu”.
Zabezpieczona strona daje mu listę: tych dostawców znamy, reszta zostaje przed wejściem.

Takie reguły pomagają ograniczyć ryzyko uruchomienia obcego kodu, osadzenia strony w podejrzanej ramce albo skorzystania z funkcji przeglądarki, których witryna w ogóle nie potrzebuje.

Co robi MartynForge?

Określa, z jakich źródeł strona może pobierać elementy, a następnie sprawdza, czy po zastosowaniu reguł nadal działają formularze, fonty, multimedia i potrzebne integracje.

Od strony technicznej: służą do tego między innymi nagłówki bezpieczeństwa i Content Security Policy. Ich ustawienie wymaga testów, ponieważ przesadnie restrykcyjna reguła może zablokować legalny element strony.

Przeglądarka wpuszczająca tylko zatwierdzone źródła zawartości strony — Dobra lista gości nie zatrzyma całego internetu. Zatrzyma jednak nieproszony skrypt przy drzwiach.

Formularz kontaktowy: recepcja przyjmująca każdą paczkę

Formularz jest wygodny dla klienta, ale jednocześnie pozwala każdemu wysłać dane do systemu. Bez ograniczeń może być masowo wykorzystywany do spamu, automatycznych zgłoszeń albo prób przesyłania nieprawidłowych danych.

Formularz bez ochrony jest jak recepcjonista, który przyjmuje każdą paczkę bez pytania o nadawcę.
Prędzej czy później ktoś podstawi ciężarówkę i powie, że wszystko jest pilne.

Co robi MartynForge?

Waliduje dane, ogranicza automatyczne wysyłanie i stosuje rozwiązania, które utrudniają botom korzystanie z formularza bez dokładania legalnym klientom irytujących przeszkód.

Od strony technicznej: mogą to być niewidoczne pola-pułapki, ograniczenie częstotliwości wysyłania, kontrola danych po stronie serwera i dodatkowa weryfikacja, gdy ruch wygląda podejrzanie.

Ciężarówka spamu próbująca dostarczyć masowe wiadomości przez formularz kontaktowy — Formularz kontaktowy miał przyjmować pytania klientów. Bot zobaczył w nim rampę rozładunkową.

Bezpieczna strona nadal może zostać osłabiona

Bezpieczeństwo nie kończy się na kodzie strony. Słabe hasło, przejęta skrzynka e-mail, brak uwierzytelniania wieloskładnikowego albo nieaktualna wtyczka mogą ominąć część ochrony technicznej.

Najlepszy zamek niewiele pomoże, gdy właściciel zostawi klucz pod doniczką.
Jeszcze gorzej, gdy sfotografuje go i wyśle wszystkim pracownikom na grupowym komunikatorze.

Uczciwa granica: żadna strona nie jest całkowicie odporna na wszystkie możliwe zagrożenia. Dobre zabezpieczenia zmniejszają ryzyko, ograniczają powierzchnię ataku i utrudniają automatyczne nadużycia. Nie tworzą magicznej tarczy.

Co robi MartynForge?

Dobiera zabezpieczenia do rodzaju strony, dokumentuje ważne ustawienia i jasno wskazuje elementy, które pozostają po stronie właściciela firmy: hasła, dostęp do poczty, konta administratorów, aktualizacje oraz sposób reagowania na podejrzane zdarzenia.

Klucz bezpieczeństwa ukryty w oczywistym miejscu pod doniczką — Najlepsze zabezpieczenia niewiele pomogą, jeśli cyfrowy klucz nadal leży pod doniczką.

Jak wygląda ochrona strony MartynForge w praktyce?

Zakres zależy od technologii, funkcji strony i uzgodnionego pakietu. Prosta strona firmowa wymaga innego podejścia niż sklep, portal użytkowników albo aplikacja połączona z zewnętrznym API.

Bezpieczny fundament

Poprawna konfiguracja domeny, DNS, szyfrowania i sposobu udostępnienia strony w internecie.

Ograniczanie nadużyć

Filtrowanie podejrzanego ruchu, botów i zbyt wielu automatycznych żądań.

Zasady dla przeglądarki

Ograniczenie obcych źródeł, niepotrzebnych funkcji i prób osadzenia strony w niewłaściwym miejscu.

Testy po wdrożeniu

Sprawdzenie formularzy, fontów, widoku mobilnego, integracji oraz najważniejszych ścieżek użytkownika.

Dokumentacja

Jasny opis tego, co zostało ustawione, dlaczego oraz gdzie przebiegają granice odpowiedzialności.

Opieka zależna od potrzeb

Monitoring, aktualizacje i dalsza opieka mogą zostać dopasowane do znaczenia strony dla firmy.

MartynForge nie traktuje bezpieczeństwa jako dekoracji dodawanej do oferty. Chodzi o przewidywanie prostych problemów, zanim pojawią się w skrzynce klienta jako spam, awaria formularza albo tajemniczy komunikat od przeglądarki.

Właściciel firmy pracujący spokojnie, podczas gdy zabezpieczenia działają w tle — Dobre zabezpieczenia nie powinny codziennie domagać się uwagi właściciela firmy. Powinny po prostu wykonywać swoją pracę.

Nie musisz znać wszystkich skrótów

Prowadząc małą firmę, masz już wystarczająco dużo obowiązków. Nie musisz poznawać wszystkich paneli, rodzajów zapór i skrótów technicznych, aby mieć rozsądnie chronioną stronę.

Powinieneś jednak wiedzieć, czy osoba budująca Twoją stronę pomyślała również o tym, co dzieje się za jej widoczną częścią.

W MartynForge bezpieczeństwo jest częścią projektu: od konfiguracji domeny i szyfrowania, przez ograniczanie automatycznego ruchu, po testowanie formularzy i zasad działania przeglądarki.

Dobrze zbudowana strona nie zostawia otwartych drzwi tylko dlatego, że właściciel ich nie widzi.

Potrzebujesz nowej strony albo chcesz sprawdzić obecną?

Opisz, jak Twoja firma korzysta ze strony. Otrzymasz jasną odpowiedź: co już działa dobrze, co wymaga uwagi i które zmiany mają rzeczywisty sens.

Napisz do MartynForge Zobacz MartynForge