בקצרה: רוב הפריצות לאתרים של עסקים קטנים הן אוטומטיות: תוכנות שסורקות את האינטרנט ומחפשות סיסמה חלשה, תוסף שלא עודכן או חשבון בלי אימות דו-שלבי. עשרה צעדים פשוטים, מסיסמאות ייחודיות ועד גיבוי מחוץ לשרת, סוגרים את רוב הדלתות האלה. והצעד הראשון הוא בכלל לא באתר: להגן על המייל ועל החשבון אצל רשם הדומיין.
למה גם אתר קטן נמצא בסיכון
בעלי עסקים קטנים אומרים לפעמים: "מי ירצה לפרוץ לי?". התשובה היא שאף אחד לא בחר בכם. רוב הניסיונות לא נעשים בידי אדם שיושב מול מחשב, אלא בידי תוכנות שעוברות אתר אחרי אתר ובודקות חולשות ידועות. אתר שנמצא בו תוסף ישן נפרץ בלי שמישהו בכלל יודע של מי הוא.
מה הפורץ רוצה? לפעמים לשתול קישורים לאתרים מפוקפקים, לפעמים להפנות גולשים מהטלפון לאתר הונאה, לפעמים להשתמש בשרת שלכם לשליחת ספאם. בכל המקרים, מי שמשלם את המחיר הוא העסק: לקוחות שמקבלים אזהרה, גוגל שמסמן את האתר, ושעות של ניקוי.
נניח שיש לכם אתר וורדפרס של משרד רואי חשבון, שנבנה לפני כמה שנים ומאז אף אחד לא נכנס לממשק הניהול. תוסף הגלריה שהותקן אז קיבל מאז עדכון אבטחה, אבל אצלכם הוא עדיין בגרסה הישנה. תוכנה סורקת מזהה את הגרסה, מנצלת את החולשה, ושותלת עמודי ספאם בשפה זרה. אתם מגלים את זה רק כשלקוח שואל למה בגוגל מופיעים תחת השם שלכם עמודים על הימורים. כל זה היה נמנע בעדכון אחד.
10 צעדים לאבטחת אתר לעסק קטן
1. סיסמה ייחודית לכל חשבון
רשם הדומיין, האחסון, ממשק הניהול של האתר, המייל: לכל אחד סיסמה משלו. אם אחת דולפת באתר אחר, השאר נשארות מוגנות. מנהל סיסמאות עושה את זה פשוט, ממציא סיסמאות ארוכות וזוכר אותן במקומכם.
2. אימות דו-שלבי, קודם כול במייל
הפעילו אימות דו-שלבי בכל מקום שאפשר, ובמיוחד במייל ובחשבון אצל הרשם. גם אם מישהו השיג את הסיסמה, הוא לא ייכנס בלי הקוד מהטלפון שלכם. מי ששולט במייל שלכם יכול לאפס כמעט כל סיסמה אחרת, ולכן המייל הוא הדבר הראשון להגן עליו.
3. עדכונים קבועים
באתרי וורדפרס, תוספים ותבניות שלא עודכנו הם אחת הדרכים הנפוצות ביותר לפריצה. עדכנו באופן קבוע, ותמיד אחרי גיבוי. תוסף שהמפתח שלו הפסיק לעדכן אותו כבר זמן רב, כדאי להחליף.
4. פחות תוספים
כל תוסף הוא עוד קוד שמישהו אחר כתב, ועוד דבר שצריך לעדכן. עברו על רשימת התוספים והסירו את מה שאתם לא משתמשים בו. לא רק לכבות: להסיר. תוסף כבוי עדיין יושב על השרת.
5. הרשאות לפי הצורך
מי צריך גישה לניהול האתר? לא כל עובד, ולא כל מי שעבד עליו פעם. תנו לכל אחד את ההרשאה המינימלית שהוא צריך, ומשתמש משלו, לא משתמש משותף. כשמישהו מסיים לעבוד איתכם, בטלו לו את הגישה באותו יום.
6. גיבוי מחוץ לשרת
אם האתר נפרץ, הדרך המהירה לחזור היא שחזור מגיבוי נקי מלפני הפריצה. שמרו גיבוי גם מחוץ לשרת, ושמרו כמה גרסאות אחורה, כי פריצות מתגלות לפעמים אחרי שבועות. כל הפרטים במדריך לגיבוי אתר.
7. טופס מוגן מספאם
טופס פתוח לגמרי מושך ספאם, ולפעמים גם ניסיונות להכניס קוד. הגנות כמו שדה מוסתר שרק תוכנות ממלאות, או בדיקה שקטה ברקע, עוצרות את רוב זה בלי להטריד לקוחות אמיתיים. ודאו גם שהפניות לא נשמרות במקום שכל אחד יכול לגשת אליו.
8. HTTPS בכל האתר
תעודת SSL מצפינה את המידע שעובר בין הגולש לאתר. היא לא מגינה מכל דבר, אבל בלעדיה פרטים מהטופס עוברים בצורה גלויה. היום זה בסיס, וברוב המקרים בחינם. ההסבר המלא במאמר על SSL ו-HTTPS.
9. הדומיין בשליטתכם
ודאו שהדומיין רשום על שמכם או שיש לכם גישה מלאה לחשבון אצל הרשם, והפעילו נעילת העברה אם הרשם מציע אותה. שימו לב למיילים מזויפים שמתחזים לרשם ומבקשים "לחדש מיד" דרך קישור. אם יש ספק, היכנסו לחשבון ישירות מהאתר של הרשם. מה קורה כשהדומיין נופל, כתבתי במאמר על דומיין שפג תוקף.
10. לדעת מתי משהו לא בסדר
הרבה פריצות מתגלות רק כשלקוח מתקשר ואומר שהאתר מפנה לאתר מוזר. Google Search Console שולח התראה כשגוגל מזהה בעיית אבטחה באתר. שירות ניטור פשוט שולח הודעה כשהאתר לא זמין. שניהם בחינם או כמעט בחינם, ושניהם מקדימים את הלקוחות.
סימנים שהאתר אולי נפרץ
- הפניה לאתרים אחרים, במיוחד כשנכנסים מהטלפון או מתוצאה בגוגל. פורצים מסתירים את זה לפעמים ממי שנכנס ישירות.
- עמודים או תוכן שלא אתם כתבתם, לפעמים בשפה זרה, שמופיעים בחיפוש site:הדומיין-שלכם בגוגל.
- אזהרה של גוגל או של הדפדפן לפני האתר.
- משתמשים חדשים בממשק הניהול שאתם לא מכירים.
- האתר נהיה איטי מאוד, או שספק האחסון מתלונן על שימוש חריג.
נפרצתם? מה עושים, לפי הסדר
- לא מוחקים קבצים בבהלה. הם עוזרים להבין איך הפורץ נכנס.
- מחליפים סיסמאות: מייל, רשם, אחסון, ממשק הניהול. מהמחשב שאתם סומכים עליו.
- פונים למי שבנה או מתחזק את האתר, ושומרים עותק של המצב הנוכחי לבדיקה.
- מבינים את דרך הכניסה וסוגרים אותה: תוסף ישן, סיסמה שדלפה, משתמש מיותר.
- משחזרים מגיבוי נקי, ובודקים ב-Search Console שהאזהרה הוסרה.
שחזור בלי לסגור את הפרצה מחזיר את הפורץ תוך ימים. אם האתר בכלל לא עולה, יש בדיקה מסודרת לאתר שלא עובד.
העובדים והספקים
הרבה פריצות לא מתחילות באתר, אלא באדם. עובד שלוחץ על קישור במייל מזויף, ספק שקיבל סיסמה בוואטסאפ ושומר אותה בצ'אט, מחשב משותף שנשאר מחובר. כמה הרגלים פשוטים עוזרים:
- לא שולחים סיסמאות בהודעות. משתפים גישה דרך מנהל סיסמאות או מוסיפים משתמש.
- לכל אחד משתמש משלו, כדי שאפשר לבטל גישה בלי להחליף את כל הסיסמאות.
- כשמסיימים לעבוד עם ספק, עוברים על הגישות שלו באותו שבוע.
- מחשב משותף בעסק, למשל בדלפק הקבלה, לא נשאר מחובר למייל או לממשק הניהול של האתר.
- כשמגיע מייל דחוף שמבקש לשלם, לאשר או "לאמת חשבון", בודקים מול הגורם בטלפון לפני שלוחצים.
פחות חלקים, פחות סיכון
אחת הדרכים הטובות להקטין סיכון היא אתר עם פחות חלקים זזים. אתר סטטי שנכתב בקוד, בלי מערכת ניהול ובלי תוספים, לא חשוף לחלק גדול מהפרצות הנפוצות של מערכות ניהול: אין לוח ניהול לנחש אליו סיסמה, ואין תוסף ישן לנצל. את ההבדלים בין הגישות פירטתי במאמר על Wix מול אתר בקוד.
סיכום
אבטחה לעסק קטן היא בעיקר הרגלים: סיסמאות ייחודיות, אימות דו-שלבי, עדכונים, גיבוי ומעקב. זו אחת הסיבות שאני בונה אתרים בקוד. כך עשיתי גם כשחידשתי את האתר של משרד עו"ד שגב סמואל אשכנזי, שעבר מוורדפרס לאתר מהיר בקוד (סיפור הפרויקט). אם האתר שלכם רץ על מערכת ישנה, אפשר לקרוא על חידוש אתר ועל השמירה השוטפת בעמוד התחזוקה.
רוצים אתר שעובד בשביל העסק?
ספרו לי מה אתם צריכים, ותקבלו כיוון ברור והצעת מחיר מסודרת.