רשימת בדיקות לאבטחת אתרים לעסקים קטנים

חשבונות וגישה

• אימות דו־שלבי בממשק הניהול של האתר, בפאנל האחסון, אצל רשם הדומיין, בדוא״ל ואצל ספק התשלומים.
• מנהל סיסמאות וסיסמה ייחודית לכל חשבון.
• הסירו חשבונות ישנים של עובדים, סוכנויות ובדיקות. תנו לכל אדם רק את ההרשאה שהוא צריך.

תוכנה

• מערכת ניהול תוכן, תוספים ותבניות מעודכנים, עם עדכונים אוטומטיים איפה שזה בטוח. מצאו תוספים לא מעודכנים.
• מחקו תוספים ותבניות שלא בשימוש ועותקים ישנים של האתר (תיקיות staging, גיבויים בתיקיית האתר).
• אם אתם משתמשים בוורדפרס, עברו על רשימת ההקשחה לוורדפרס.

גיבויים

• גיבויים יומיים אוטומטיים של הקבצים ושל מסד הנתונים, שנשמרים מחוץ לשרת.
• לפחות עותק אחד שהאתר עצמו לא יכול למחוק (כדי שכופרה או פורץ לא יוכלו להסיר אותו).
• נסו שחזור פעם בכמה חודשים. גיבוי שלא שחזרתם ממנו הוא תקווה, לא תוכנית.

HTTPS וכותרות

• תעודה תקפה עם חידוש אוטומטי, רק TLS 1.2 ומעלה, הפניה מ־HTTP ל־HTTPS. בדיקת SSL ב־6 נקודות.
• HSTS,‏ X-Content-Type-Options, הגנה מפני הטמעה במסגרת ו־Referrer-Policy. כותרות להעתקה.
• Content-Security-Policy, לפחות בדפי התשלום. מדריך CSP.
• Secure,‏ HttpOnly ו־SameSite בעוגיות. מדריך דגלי העוגיות.
• בלי מספרי גרסה גלויים של השרת, PHP או מערכת ניהול התוכן. איך מסתירים אותם.

דוא״ל ודומיין

• SPF,‏ DKIM ו־DMARC לדומיין. רשומות להעתקה.
• חידוש אוטומטי של הדומיין, נעילה אצל הרשם ואימות דו־שלבי אצל הרשם.
• קובץ security.txt כדי שאנשים יוכלו לדווח לכם על בעיות.

תשלומים

• העדיפו דפי תשלום או שדות מתארחים של ספק התשלומים, כך שמספרי כרטיסים לא יעברו אף פעם בשרת שלכם.
• עקבו אחרי הסקריפטים בדף התשלום. עצרו גניבת כרטיסים בדף התשלום.

ניטור ותגובה

• בדקו את האתר שוב אחרי כל שינוי ולפחות פעם בחודש.
• רשמו למי מתקשרים אם האתר נפרץ: ספק האחסון, המפתח, ספק התשלומים.
• הכירו את סימני הפריצה. איך יודעים אם וורדפרס נפרץ.