אבטחת אתר לעסק קטן: מה לבדוק ואיך להתגונן

אבטחת אתר לעסק קטן נשמעת כמו נושא לחברות גדולות, אבל היא נוגעת לכל אתר. הרבה פריצות לא מכוונות לעסק מסוים. תוכנות סורקות אתרים באופן אוטומטי ומחפשות סיסמה חלשה, תוסף שלא עודכן או גרסה ישנה של מערכת הניהול. אתר קטן שלא מתוחזק הוא בדיוק מה שהן מחפשות.

המדריך עובר על הצעדים הבסיסיים לפי סדר: HTTPS, סיסמאות ואימות דו שלבי, עדכונים, זהירות מפישינג, גיבויים ומה לבקש מחברת האחסון. ההמלצות שמיוחסות למקור מבוססות על המדריכים של web.dev, עם קישור. בסוף יש בדיקה חודשית קצרה ומה עושים אם האתר כבר נפרץ.

למה אבטחת אתר חשובה גם לעסק קטן?

אבטחת אתר לעסק קטן חשובה כי תוקפים מחפשים אתרים פגיעים, לא עסקים מפורסמים. לפי המדריך של web.dev על הדרכים הנפוצות לפריצה לאתרים, תוקפים מחפשים באופן פעיל תוכנה ישנה עם פרצות, וגרסאות ישנות יכולות להכיל פרצות בסיכון גבוה שמאפשרות להשתלט על האתר כולו.

מה תוקף מרוויח מאתר של עסק קטן?

את המשאבים ואת השם שלו. אתר פרוץ יכול לשמש להפצת ספאם, להוספת עמודים שלא כתבתם או להפניית הגולשים שלכם למקום אחר, והלקוחות רואים את זה תחת השם של העסק.

איך יודעים שהאתר נפרץ?

סימנים נפוצים: עמודים שלא כתבתם מופיעים בחיפוש site: עם כתובת האתר, גולשים מדווחים על הפניה מוזרה, או שמשתמש לא מוכר מופיע בניהול. כל אחד מהם מצדיק בדיקה מיידית.

מה זה HTTPS ולמה כל אתר צריך אותו?

HTTPS הוא חיבור מוצפן בין הדפדפן של הגולש לאתר, וכל אתר צריך אותו, גם אתר שלא מבקש פרטי אשראי. לפי ההסבר של web.dev על HTTPS, הוא מונע מתוקפים לשנות את התקשורת בין האתר לגולש ומונע מהם להאזין לה, והתפיסה שרק אתרים עם מידע רגיש צריכים HTTPS היא טעות נפוצה.

איך יודעים שהאתר עובד ב-HTTPS?

הכתובת בשורת הדפדפן מתחילה ב-https. בודקים גם שכל עמוד, תמונה וטופס נטענים כך, ושהגרסה ב-http מעבירה אוטומטית לגרסה המאובטחת.

מה עוד תלוי ב-HTTPS?

web.dev כותב שיכולות חדשות בדפדפן, כמו גישה למצלמה או עבודה במצב לא מקוון, דורשות HTTPS. אתר בלי חיבור מאובטח פשוט לא יכול להשתמש בהן.

איך סיסמאות חלשות מסכנות את האתר?

סיסמה חלשה היא הדרך הקלה ביותר להיכנס לאתר. web.dev מתאר תוקפים שמנחשים סיסמאות, בעזרת סיסמאות נפוצות או צירופים אקראיים, עד שהם מצליחים, וממליץ לא להשתמש באותה סיסמה בכמה שירותים ולהפעיל אימות דו שלבי. בכל תוכנית של אבטחת אתר לעסק קטן זה הצעד הראשון.

מה זה אימות דו שלבי?

שכבה נוספת אחרי הסיסמה: קוד בהודעה או קוד שמתחלף באפליקציה. גם מי שגילה את הסיסמה לא יכול להיכנס בלי הקוד.

מי צריך גישה לניהול האתר?

רק מי שבאמת עובד עליו, עם ההרשאה המינימלית שהוא צריך. כשעובד או ספק מסיימים לעבוד, מוחקים את המשתמש שלהם ומחליפים סיסמאות משותפות.

למה חשוב לעדכן תוכנה, תבניות ותוספים?

חשוב לעדכן כי גרסאות ישנות הן הפרצה שתוקפים מחפשים. web.dev כותב שהתעלמות מפרצות מגדילה את הסיכון להתקפה, ושתבניות ותוספים שלא עודכנו הם מקור מרכזי לפרצות.

מה עם תוספים חינמיים?

web.dev ממליץ להיזהר מאוד מתוספים ותבניות חינמיים מאתרים לא מוכרים, וכותב שזו שיטה נפוצה להוסיף קוד זדוני לגרסה חינמית של תוסף בתשלום. מתקינים רק ממקור רשמי.

האם פחות רכיבים פירושו פחות סיכון?

בדרך כלל כן, כי יש פחות דברים לעדכן. אתר עם עשרות תוספים דורש מעקב צמוד יותר מאתר פשוט. על ההבדלים בגישות יש מאמר על קוד נקי מול וורדפרס.

מה זה פישינג ואיך נזהרים ממנו?

פישינג הוא מייל או הודעה שמתחזים לגוף מוכר כדי לגרום לכם למסור סיסמה או פרטים. web.dev מתאר זאת כחלק מהנדסה חברתית: התוקף לא פורץ לאתר, הוא משכנע מישהו לפתוח לו את הדלת.

איך נראה ניסיון כזה בעסק קטן?

למשל מייל שנראה כאילו הגיע מחברת האחסון או מהרשם, ומבקש "לחדש מיד" דרך קישור. לפני שלוחצים, נכנסים לחשבון ישירות מהאתר הרשמי ולא מהקישור במייל. על ניהול הדומיין יש מדריך על בחירת שם דומיין לעסק.

מה עוד מקטין את הסיכון?

אימות דו שלבי בכל חשבון חשוב, וכלל פשוט בעסק: אף אחד לא מוסר סיסמה בטלפון או במייל, גם כשהבקשה נשמעת דחופה.

איך גיבויים מגינים על העסק?

גיבוי מאפשר להחזיר את האתר לגרסה נקייה אחרי פריצה, תקלה או טעות. אבטחת אתר לעסק קטן בלי גיבוי עדכני היא הימור, כי גם אחרי שסוגרים את הפרצה צריך מאיפה לשחזר את האתר.

כל כמה זמן מגבים?

לפי קצב השינויים באתר. אתר תדמית שמשתנה פעם בחודש צריך פחות גיבויים מחנות שמקבלת הזמנות כל יום. העיקר שהגיבוי האחרון לא ישן מדי.

איפה שומרים את הגיבוי?

גם מחוץ לשרת של האתר. גיבוי שיושב רק על אותו שרת עלול להיפגע יחד איתו. ופעם בכמה זמן כדאי לנסות לשחזר ממנו, כדי לוודא שהוא באמת עובד.

מה מגבים חוץ מהקבצים?

את מסד הנתונים, אם יש, ואת הגדרות השרת. גיבוי של קבצים בלבד באתר שתוכנו יושב במסד נתונים לא יחזיר את האתר כמו שהיה.

מה צריך לבדוק בחברת האחסון?

בחברת האחסון בודקים אם יש גיבוי אוטומטי, תעודת HTTPS, עדכוני שרת שוטפים ותמיכה שזמינה כשמשהו קורה. האחסון הוא הבסיס שעליו יושב האתר, ואחסון זול שלא מתוחזק עלול לבטל את כל השאר.

מה לשאול לפני שבוחרים?

כמה זמן נשמרים הגיבויים, איך משחזרים, מי מעדכן את תוכנת השרת ומה קורה אם האתר נפרץ. הסבר מלא במדריך איך בוחרים אחסון שלא יאט את האתר ובמדריך לבחירת אחסון אתרים.

איך מגינים על טפסים באתר?

מגינים על טפסים כשמבקשים בהם רק את המידע הנחוץ, שולחים אותם בחיבור מאובטח ומסננים שליחות אוטומטיות. טופס פנייה הוא הדלת שדרכה מגיעים לקוחות, אבל גם בוטים של ספאם.

מה לא לבקש בטופס?

מספר תעודת זהות, פרטי אשראי או מסמכים, אלא אם זה באמת נדרש ויש לכם דרך מאובטחת לקבל אותם. כל פרט שלא נאסף הוא פרט שלא יכול לדלוף.

איך עוצרים ספאם בטפסים?

שדה נסתר שבני אדם לא ממלאים, בדיקה בצד השרת ומגבלה על מספר השליחות. אם אין ברירה, אפשר להוסיף בדיקה שמבחינה בין אדם לבוט.

מה עושים אם האתר נפרץ?

אם האתר נפרץ, מחליפים מיד את כל הסיסמאות, מעדכנים את כל הרכיבים, משחזרים מגיבוי נקי ובודקים שאין משתמשים או קבצים שלא הכרתם. אבטחת אתר לעסק קטן כוללת גם תוכנית למקרה הזה, כי בזמן אמת אין זמן לחפש מי מחזיק את הסיסמאות.

מה בודקים אחרי השחזור?

שהפרצה שדרכה נכנסו נסגרה, אחרת היא תנוצל שוב. בודקים גם ב-Search Console אם הופיעו עמודים או חיפושים לא מוכרים. איך מגדירים את הכלי מוסבר במדריך להגדרת Search Console.

מתי לפנות לאיש מקצוע?

כשלא ברור איך נכנסו, כשהפריצה חוזרת, או כשיש באתר פרטים של לקוחות. במקרים כאלה ניסוי וטעייה רק מאריך את הנזק.

מה לבקש מהספק שבונה או מתחזק את האתר?

מהספק מבקשים בכתב מי אחראי על עדכונים, איך ומתי מגבים, מי מחזיק בסיסמאות ומה קורה במקרה של פריצה. אבטחת אתר לעסק קטן נופלת לא פעם בין הכיסאות, כי בעל העסק חושב שהספק מטפל, והספק חושב שהעבודה נגמרה בהשקה.

מי צריך להחזיק בסיסמאות?

אתם. הספק מקבל משתמש משלו עם ההרשאות שהוא צריך, ואת חשבון הניהול הראשי, הדומיין והאחסון מחזיק העסק.

מה קורה כשמסיימים לעבוד עם ספק?

מוחקים את המשתמש שלו, מחליפים סיסמאות משותפות ומוודאים שהגיבויים נשארים אצלכם. עדיף לסכם את זה מראש, לא ביום הפרידה.

איך שומרים על המחשבים והטלפונים שמהם מנהלים את האתר?

שומרים עליהם בעדכוני מערכת שוטפים, בנעילה עם סיסמה או טביעת אצבע, ובכך שלא שומרים סיסמאות לניהול האתר בקובץ פתוח או בהודעה. האתר מאובטח רק כמו המכשיר שממנו נכנסים אליו.

איפה כן לשמור סיסמאות?

במנהל סיסמאות, שמייצר סיסמה שונה לכל שירות וזוכר אותה בשבילכם. כך אין צורך לחזור על אותה סיסמה, כפי ש-web.dev ממליץ.

מה עם רשת אלחוטית ציבורית?

עדיף לא להיכנס לניהול האתר מרשת פתוחה בבית קפה. אם אין ברירה, לפחות מוודאים שהחיבור לאתר הוא ב-HTTPS.

מה כוללת בדיקת אבטחה חודשית?

בדיקת אבטחה חודשית כוללת עדכונים שממתינים, רשימת המשתמשים בניהול, תאריך הגיבוי האחרון ובדיקה שהאתר נטען ב-HTTPS. זו עבודה של רבע שעה, והיא מוצאת בעיה כשהיא עוד קטנה.

מה עוד כדאי לבדוק באותה הזדמנות?

חיפוש site: עם כתובת האתר כדי לראות אם הופיעו עמודים זרים, ומועד החידוש של הדומיין. בדיקה רחבה יותר של האתר מופיעה בצ'קליסט קידום אתרים.

מי אחראי על זה?

מי שמתחזק את האתר. אם זה ספק חיצוני, כדאי שהתחזוקה והעדכונים יופיעו בהצעה. מה לבדוק בה מוסבר במדריך מה חייב להיות כתוב בהצעת מחיר.

אבטחת אתר לעסק קטן לא דורשת תקציב של חברה גדולה, אלא הרגלים: HTTPS בכל עמוד, סיסמאות חזקות עם אימות דו שלבי, עדכונים בזמן, זהירות ממיילים דחופים, וגיבוי שאפשר באמת לשחזר ממנו. בדיקה חודשית קצרה שומרת על כל זה.

אם אתם בונים אתר חדש, כדאי לחשוב על אבטחה כבר בשלב התכנון. כאן מוסבר איך נראית בניית אתרים לעסקים אצלנו, כולל אחסון, HTTPS ותחזוקה.

שאלות נפוצות על אבטחת אתר לעסק קטן