Vad som håller en hemsida säker, och vad som inte gör det
Säkerhet avgörs inte av vilket verktyg du väljer, utan av vem som sköter sidan. Verklig data från ett åländskt projekt.
Kort sagt: En hemsida blir osäker när ingen sköter den: inga uppdateringar, inga säkerhetskopior, inget skyddslager. Plattformen avgör inte säkerheten. Driften gör det.
3 248 blockerade förfrågningar på en månad
Cloudflare, 3 248 skadliga förfrågningar blockerade eller utmanade under en månad mot Chatbot.ax.
Under en månadsperiod blockerade eller utmanade Cloudflare 3 248 misstänkta förfrågningar mot Chatbot.ax, en tjänst jag driver och underhåller. Den ligger nere just nu medan den byggs om och uppgraderas, så siffrorna här är från den period då den var i drift. Det som stoppade attackerna var inte koden, utan ett korrekt konfigurerat säkerhetslager framför webbplatsen. Trafiköversikten nedan visar fördelningen: Cloudflare stoppar en konstant andel av trafiken innan den ens når servern. Samma upplägg gäller för alla sidor jag ansvarar för, oavsett om det är ett litet tjänsteföretag i Mariehamn eller en webbaserad tjänst.
Cloudflare trafiköversikt, Chatbot.ax. 2,96 % av all trafik stoppas innan den når servern.
Dagliga säkerhetskopior, automatiskt
Hostinger, automatiserade säkerhetskopior dagligen.
Om något går fel återställer jag en färsk kopia. Säkerhetskopiorna lagras automatiskt utanför servern. De är en grundförutsättning för ansvarsfull drift, inget tillval.
Säkerhet handlar om skötsel
Säkerhetshål uppstår sällan för att en plattform är svag i sig. De uppstår för att ingen tar ansvar för driften efter lansering. Gamla versioner av kod och tillägg innehåller kända säkerhetshål som automatiserade attacker letar efter. En ouppdaterad sida är ett enkelt mål, oavsett vilket verktyg den är byggd med.
Svaga lösenord och avsaknad av tvåfaktorsinloggning är ett vanligt inträde. De flesta intrång sker inte via avancerad kod, utan via gissade eller läckta lösenord mot inloggningssidan. Det är ett problem som handlar om hur kontona sköts.
Utan säkerhetskopior finns det inget att falla tillbaka på om något går fel. Utan övervakning märker ingen att något börjar bete sig konstigt förrän skadan redan är ett faktum.
Vad ett korrekt säkerhetsupplägg innebär
Säkerhet är inte en inställning du klickar på vid lansering. Det är ett kontinuerligt arbete med flera lager som alla måste fungera samtidigt.
Det börjar med ett skyddslager framför servern. Cloudflare granskar trafiken och blockerar eller utmanar misstänkta förfrågningar automatiskt, precis som i exemplet ovan. All kommunikation kräver HTTPS, inloggningsförsök begränsas och tvåfaktorsinloggning används där det går. Kod och tillägg uppdateras regelbundet, eftersom de flesta säkerhetshål finns i gammal kod. Dagliga säkerhetskopior lagras utanför servern, så att det alltid finns en ren version att återgå till.
Behörighet är det sista lagret. Bara de som behöver åtkomst har den, och på rätt nivå. Det minskar risken för att ett enda läckt konto ska ge tillgång till allt.
Så gör jag
Jag konfigurerar Cloudflare, kör dagliga säkerhetskopior, uppdaterar koden regelbundet och övervakar alla sidor löpande, som standard. Mätningarna ovan är från ett aktivt kundprojekt på Åland, och samma upplägg gäller för varje sida jag ansvarar för. Drift och säkerhet ingår i abonnemanget, och går också att lägga till efter ett engångsprojekt.
Hur säker är min hemsida egentligen? Se vad som ingår i abonnemanget
Vanliga frågor
Vad händer om sidan ändå blir hackad?
Jag återställer en ren version från de dagliga säkerhetskopiorna. Kopiorna ligger utanför servern, så en komprometterad server tar inte med sig backuperna. Det begränsar skadan avsevärt jämfört med en sida utan backup-rutin.
Behöver jag göra något själv för att hålla sidan säker?
Med ett driftupplägg sköter jag uppdateringar, säkerhetskopior och konfiguration. Det du bör tänka på är starka, unika lösenord till konton kopplade till sidan: e-post, inloggning och domänregistratorn. Det är det enda ansvaret som alltid ligger hos dig.
Är SSL verkligen nödvändigt?
Ja. Utan SSL visar webbläsaren sidan som ”Ej säker”, Google nedprioriterar den i sökresultaten och all data som besökare skickar via formulär går okrypterad. SSL ingår alltid, som ett grundläggande krav.
Behöver jag ett abonnemang för att sidan ska vara säker?
Drift och säkerhet ingår i abonnemanget, men det finns också ett separat driftpaket från 25 €/mån + moms som du kan lägga till efter ett engångsköp. En hemsida ingen sköter åldras snabbt och riskerar att bli en säkerhetsrisk, oavsett hur välbyggd den var från start. Läs mer på prissidan.
Vill du att det här sköts i bakgrunden? Det ingår i drift och support.
Nästa steg
Funderar du på din egen hemsida?
Hör av dig och berätta hur du har det idag. Jag återkommer så snart jag kan.