אבטחת אתרים, צעד אחר צעד.
מדריכים קצרים ומעשיים, עם שורות שאפשר להדביק ב־nginx, ב־Apache או בוורדפרס. כל מדריך מפנה למקורות שלו. הקוד וההגדרות נשארים באנגלית.
מדריכים בעברית
כותרות אבטחה
כותרות אבטחה של HTTP להעתקה ל-nginx, ל-Apache (.htaccess), ל-Cloudflare ולוורדפרס: HSTS, X-Content-Type-Options, הגנה מפני הטמעה במסגרת, Referrer-Policy ו-Permissions-Policy.
מדריךContent-Security-Policy
הטמיעו Content-Security-Policy בלי לשבור את האתר: התחילו במצב דיווח בלבד, בנו רשימת היתרים ואז אכפו. דוגמאות ל-nginx, ל-Apache ולוורדפרס.
מדריךHSTS
מה HSTS עושה, למה להתחיל עם max-age קצר, מתי להשתמש ב-includeSubDomains וב-preload, עם שורות להעתקה ל-nginx, ל-Apache ול-Cloudflare.
מדריךוורדפרס נפרץ?
הסימנים לאתר וורדפרס שנפרץ, איך מאשרים זאת עם בדיקות ה-checksum של WP-CLI, ורשימת ניקוי: משתמשים, קבצים, מפתחות, עדכונים ובדיקה חוזרת של גוגל.
מדריךחיזוק וורדפרס
רשימת חיזוק מעשית לוורדפרס עם קטעי קוד להעתקה: חסימת XML-RPC, הסתרת שמות משתמש, ביטול עורך הקבצים, הגנה על wp-config.php ומניעת PHP בתיקיית ההעלאות.
מדריךHTTPS ותוכן מעורב
אכפו HTTPS עם הפניית 301 אחת, תקנו אזהרות תוכן מעורב, הימנעו מלולאות הפניה ב-Cloudflare ועדכנו קישורי http:// ישנים בוורדפרס עם WP-CLI.
מדריךסקימרים בקופה
איך סקימרים של כרטיסי אשראי נכנסים לחנויות אונליין ואיך עוצרים אותם: רשימת סקריפטים, CSP בקופה, SRI, שדות תשלום מאורחים וזיהוי שינויים (PCI DSS 4.0 6.4.3 ו-11.6.1).
מדריך.git, .env וגיבויים חשופים
קבצי .env, תיקיות .git וגיבויי מסד נתונים שדלפו מוסרים לתוקפים את הסיסמאות שלכם. בדקו אם שלכם ציבוריים, חסמו אותם ב-nginx או ב-Apache והחליפו את הסודות.
מדריךSPF, DKIM ו-DMARC
מנעו מנוכלים לשלוח מיילים בשם הדומיין שלכם. רשומות SPF ו-DMARC להעתקה ל-Google Workspace ול-Microsoft 365, ודרך בטוחה מ-p=none ל-p=reject.
מדריךבדיקת אבטחת האתר
דרך חינמית ובטוחה לבדוק את אבטחת האתר: HTTPS, כותרות אבטחה, רשומות דוא״ל, עדכוני וורדפרס וקבצים חשופים, עם הפקודות המדויקות ואיך נראית תוצאה טובה.
מדריךציוני אבטחה A–F
איך מחושב ציון אבטחת האתר A–F של HackGrade: נקודות לפי חומרת הבעיה, תקרה לכל קטגוריה, והכללים שמגבילים את הציון כשיש בעיה קריטית או בסיכון גבוה.
מדריךבדיקת תעודת SSL
בדקו את הגדרות ה־SSL/TLS בשישה שלבים: שרשרת מהימנה, שמות תואמים, תוקף וחידוש אוטומטי, רק TLS 1.2/1.3, הפניה מ־HTTP ל־HTTPS ו־HSTS. פקודות והגדרות ל־nginx ול־Apache.
מדריךתוספי וורדפרס לא מעודכנים
מצאו תוספים ותבניות של וורדפרס שאינם מעודכנים ופגיעים: מסך העדכונים, פקודות WP-CLI, מאגרי פגיעויות ציבוריים, תוספים סגורים ועדכונים אוטומטיים בטוחים.
מדריךרשימת אבטחה לעסקים קטנים
רשימת בדיקות מעשית לאבטחת אתרים לעסקים קטנים: HTTPS, עדכונים, גיבויים, אימות דו־שלבי, כותרות אבטחה, רשומות דוא״ל, הגנה על הדומיין וניטור, עם קישורים לתיקונים צעד אחר צעד.
מדריךדגלי אבטחה לעוגיות
מה עושים דגלי העוגיות Secure, HttpOnly ו־SameSite ואיך מגדירים אותם ב־PHP, בוורדפרס, ב־nginx וב־Apache, בלי לשבור עוגיות שהסקריפטים שלכם צריכים.
מדריךהסתרת גרסאות השרת וה־PHP
תפסיקו לפרסם את גרסאות התוכנה שלכם: server_tokens ב־nginx, ServerTokens ב־Apache, expose_php ב־PHP ותגית ה־generator של וורדפרס, וגם למה עדכון חשוב יותר מהסתרה.
מדריךהוספת קובץ security.txt
פרסמו קובץ security.txt כדי שחוקרים יוכלו לדווח לכם על בעיות: שדות חובה, דוגמה, איפה לשים אותו ב־nginx, ב־Apache ובוורדפרס, ואיך לשמור שיישאר תקף.
מדריךסורק מול מבדק חדירה מול בודק כותרות
השוואה הוגנת בין בודקי כותרות אבטחה חינמיים, סורקי אבטחת אתרים אוטומטיים כמו HackGrade ומבדקי חדירה ידניים: מה כל אחד מוצא, מה הוא מפספס ומתי צריך מה.
בדיקות חינמיות
גלו את הציון שלכם לפני שמישהו אחר יגלה.
מתחילים בחינם. תוכניות בתשלום מ־12$ לחודש, או דוח חד־פעמי ב־29$. למחירים