In English

Czy moja strona jest bezpieczna?

Prowadzisz stronę i chcesz wiedzieć, czy jest bezpieczna. Wpisz jej adres poniżej. Po około 90 sekundach ShieldWave pokaże Ci prostym językiem, co o zabezpieczeniach Twojej strony widzi każdy w internecie. Pierwszy test jest darmowy, bez konta i bez hasła.

Chcesz sprawdzić, czy sklep albo link jest bezpieczny, zanim coś kupisz lub klikniesz? Ten test do tego nie służy. Jest dla osób, które prowadzą stronę. Przy obcej stronie sprawdź w raporcie Bezpiecznego przeglądania Google, czy Google jej nie oznaczył.

Co sprawdza test

Test patrzy na stronę z zewnątrz, tak jak odwiedzający albo bot. Nie potrzebuje wtyczki, hasła ani dostępu do hostingu.

Darmowy test bez konta to szybki test:

• Certyfikat. Czy jest ważny, kiedy wygasa i czy strony ładują się przez bezpieczne połączenie.
• Zabezpieczenia w przeglądarce. Nagłówki bezpieczeństwa i ustawienia ciasteczek, które nie pozwalają innym stronom osadzić Twojej w ramce ani przejąć sesji logowania.
• Technologia strony. Wersja WordPressa oraz wtyczki i motywy, które ładuje strona główna, porównane z publicznymi listami znanych luk.

Z darmowym kontem, po potwierdzeniu, że strona jest Twoja, pełny test robi ponad 20 testów. Sprawdza dodatkowo formularze, które przyjmują dane, jakie powinny odrzucić, złośliwy kod, spamowe linki i przekierowania w treści stron, zapomniane kopie zapasowe i pliki konfiguracyjne do pobrania przez każdego, ustawienia poczty (SPF, DKIM i DMARC), otwarte porty i stare subdomeny. Stronę potwierdzasz rekordem DNS, plikiem na stronie, znacznikiem w kodzie strony albo naszą wtyczką do WordPressa. Zajmuje to kilka minut i nie wymaga hasła.

Raport dzieli znalezione problemy na ten tydzień, ten miesiąc i później. Darmowy plan pokazuje ocenę i trzy najpoważniejsze problemy. Pełny raport ma wszystkie znaleziska i zlecenie, które przekażesz programiście.

Czego test nie widzi

• Plików na serwerze. Tylnej furtki w pliku PHP, która nie zostawia śladu w kodzie strony, nie widać z zewnątrz. Na WordPressie pliki od środka sprawdzi nasza darmowa wtyczka. Przy innych systemach poproś firmę hostingową o skan plików na serwerze.
• Kont i haseł. Ilu masz administratorów, czy używają słabych haseł, czy działa logowanie dwuetapowe.
• Treści w bazie danych. Spamu dopisanego do starych wpisów, który pojawia się tylko na kilku podstronach.
• Logiki sklepu albo aplikacji. Czy klient zobaczy cudze zamówienie, gdy zmieni numer w adresie. To sprawdza człowiek w teście penetracyjnym.

Wysoka ocena znaczy, że testy z zewnątrz znalazły niewiele. Nie dowodzi, że strona jest bezpieczna. ShieldWave niczego też nie naprawia ani nie czyści: mówi Tobie i programiście, co poprawić.

Jeśli Twoja strona działa na WordPressie, przeczytaj o sprawdzeniu bezpieczeństwa WordPressa. Tam opisuję, co widzi darmowa wtyczka, a czego nie zobaczy test z zewnątrz.

Czy moja strona jest zhakowana? Objawy

Zhakowana strona rzadko wygląda na zhakowaną. Ktoś, kto się do niej dostał, chce z niej korzystać jak najdłużej, więc strona dalej działa. Zwróć uwagę na takie sygnały:

• Klient pisze, że strona przekierowała go na loterię, fałszywy sklep albo komunikat o wirusie w telefonie, a Ty nie możesz tego powtórzyć. Złośliwe przekierowania często działają tylko na telefonach, tylko dla osób z wyników Google i tylko od czasu do czasu.
• Po wpisaniu w Google site:twojadomena.pl widzisz podstrony, których nikt u Ciebie nie tworzył: teksty po japońsku, reklamy leków, kasyn albo podróbek.
• Google pisze przy Twojej stronie, że mogła zostać zhakowana, albo Chrome pokazuje czerwony ekran z ostrzeżeniem. W Google Search Console znaleziska są w raporcie Problemy dotyczące bezpieczeństwa.
• Konto administratora, którego nie znasz, albo wtyczka, której nikt nie instalował.
• Hosting pisze o złośliwych plikach, zablokowanym koncie albo nietypowym obciążeniu serwera.
• Twoje maile wracają z informacją o czarnej liście albo trafiają klientom do spamu.
• Google Ads odrzuca reklamy z powodu złośliwego oprogramowania albo przejętej strony docelowej.

Jeden objaw niczego nie przesądza. Dwa naraz to powód, żeby zająć się tym jeszcze dziś. Każdy z nich opisuję w artykule Objawy zhakowanej strony i co zrobić w pierwszej godzinie.

Co zrobić dalej

1. Uruchom test powyżej. Jeśli coś znajdzie, zacznij od problemów z tego tygodnia i przekaż zlecenie osobie, która opiekuje się stroną.
2. Na WordPressie zainstaluj darmową wtyczkę. Ensomedia Security jest w katalogu WordPress.org i sprawdza pliki, konta i ustawienia od środka, bez konta i bez limitów.
3. Jeśli podejrzewasz włamanie, na razie niczego nie kasuj. Zanotuj, co widzisz, ze zrzutami ekranu i godzinami. Zmień hasła do panelu hostingu, kont administratorów strony, FTP i skrzynek w domenie, a potem włącz logowanie dwuetapowe. Poproś hosting o zabezpieczenie logów serwera i kopię strony, zanim ktoś zacznie sprzątać. Samo czyszczenie strony to zadanie dla programisty albo hostingu.
4. Pomyśl o danych osobowych. Jeśli na stronie są dane klientów, a ktoś się do niej dostał, według art. 33 RODO masz 72 godziny od stwierdzenia naruszenia na zgłoszenie go do UODO, chyba że raczej nie niesie ono ryzyka dla osób, których dane dotyczą.
5. Załóż konto w moje.cert.pl. W bezpłatnym serwisie moje.cert.pl CERT Polska na Twoje zlecenie skanuje Twoje domeny i informuje o znanych podatnościach i wyciekach danych z kont w domenie.

Wróć do darmowego testu