Securitatea unui site web: care riscuri sunt reale și ce faci concret

Riscurile reale, nu cele de pe titluri alarmiste

Marea majoritate a compromiterilor pe care le-am văzut la site-uri de firmă nu vin din atacuri sofisticate, ci din neglijențe simple, repetate. Pluginurile și extensiile neactualizate rămân, de departe, cea mai frecventă poartă de intrare — un plugin cu o vulnerabilitate cunoscută, nefolosit direct de nimeni, dar lăsat activ pe site luni de zile.

Parolele slabe și lipsa autentificării în doi pași (2FA) pe conturile de administrare sunt al doilea risc real. Un atac automatizat care încearcă combinații comune de parole pe mii de site-uri deodată găsește, statistic, exact conturile fără 2FA și cu parole reutilizate.

Al treilea risc, adesea ignorat până devine urgență: lipsa backupurilor testate. Multe firme au un sistem de backup activat, dar nimeni nu a verificat niciodată dacă acel backup chiar poate fi restaurat funcțional. Un backup nefuncțional descoperit în timpul unei crize e, practic, echivalent cu lipsa lui.

Alte riscuri frecvente: formulare fără protecție împotriva trimiterilor automate, injectarea de spam SEO în paginile site-ului, deturnarea domeniului sau a contului de găzduire prin acces neautorizat, și lipsa HTTPS sau a headerelor de securitate care ar bloca o parte din tentativele de atac automat.

Un risc adesea ignorat, pentru că nu produce simptome vizibile imediat: injectarea de spam SEO. Un site compromis poate fi folosit pentru a găzdui pagini invizibile, indexate de Google, cu link-uri către alte site-uri, fără ca proprietarul firmei să observe nimic în interfața obișnuită de administrare. Descoperirea vine, de multe ori, abia când Google penalizează întregul domeniu pentru conținut spam, moment în care remedierea și recâștigarea încrederii motorului de căutare durează semnificativ mai mult decât prevenția inițială.

Pluginuri neactualizate: cauza cea mai frecventă

Fiecare plugin sau extensie instalată pe un site reprezintă o suprafață suplimentară de atac. Când un plugin nu mai e actualizat de dezvoltatorul lui, orice vulnerabilitate descoperită ulterior rămâne deschisă la nesfârșit, iar informația despre ea devine publică — deci vizibilă și pentru atacatori automatizați.

Un site cu 20-30 de pluginuri active, dintre care jumătate nu mai sunt necesare funcțional, are o suprafață de atac mult mai mare decât unul construit minimal, cu exact ce e necesar. Curățarea periodică a pluginurilor nefolosite e, de multe ori, cea mai ieftină măsură de securitate posibilă.

Actualizările automate ajută, dar nu sunt suficiente fără verificare — o actualizare eșuată silențios lasă site-ul la fel de expus ca lipsa completă a actualizării, doar cu impresia falsă de siguranță.

O practică simplă, dar rar aplicată sistematic: revizuirea trimestrială a listei complete de pluginuri active, cu eliminarea celor nefolosite de fapt. În auditurile noastre, e frecvent să găsim pluginuri instalate pentru un test punctual, cu ani în urmă, rămase active fără niciun rol funcțional curent, dar cu vulnerabilități cunoscute nepatchuite de furnizor.

Parole, 2FA și controlul accesului

Autentificarea în doi pași pe toate conturile cu drept de administrare — panou de administrare, găzduire, registrar de domeniu, e-mail asociat — reduce drastic riscul de compromitere prin parolă furată sau ghicită, chiar dacă parola în sine e slabă.

Un principiu simplu, aplicat prea rar: fiecare persoană care are nevoie de acces trebuie să aibă propriul cont, cu drepturi limitate la ce îi e necesar efectiv. Conturile partajate între mai mulți angajați fac imposibilă urmărirea originii unei acțiuni suspecte și rămân active mult după ce persoana respectivă a plecat din firmă.

Revizuirea periodică a conturilor active — cine mai are acces, la ce nivel — e o măsură simplă, dar rar făcută sistematic, mai ales în firme unde site-ul a fost gestionat de mai multe persoane de-a lungul anilor.

Un caz frecvent în practică: agenția sau freelancerul precedent, care a construit site-ul, păstrează acces de administrator ani după încheierea colaborării, pur și simplu pentru că nimeni nu a revocat explicit acel acces. E o gaură de securitate ușor de închis, dar care rămâne deschisă exact pentru că nu a produs, până acum, o problemă vizibilă.

Backup testat prin restaurare, headere și rate limiting

Un backup automat, generat zilnic sau săptămânal, nu are valoare reală până nu e testat printr-o restaurare de probă, făcută periodic, într-un mediu separat de site-ul live. Doar așa se confirmă că fișierele de backup sunt complete și funcționale, nu doar prezente.

Headerele de securitate la nivel de server sunt o măsură tehnică simplă, dar eficientă: CSP (Content-Security-Policy) limitează sursele din care pagina poate încărca resurse, HSTS forțează conexiunea HTTPS, X-Content-Type-Options previne interpretarea greșită a fișierelor, iar Referrer-Policy controlează ce informații despre pagina curentă ajung la site-uri externe.

Rate limiting-ul pe formulare și pe zona de autentificare blochează încercările automate repetate — un atac care încearcă mii de combinații de parolă pe minut e oprit înainte să aibă șansa să reușească, fără să afecteze utilizatorii legitimi, care nu depășesc niciodată acel prag de încercări.

Restaurarea de probă merită detaliată puțin: nu e suficient să confirmi că un fișier de backup există și are dimensiunea așteptată. Testul real presupune restaurarea efectivă a acelui backup pe un mediu separat și verificarea că site-ul rezultat funcționează identic cu originalul — bază de date inclusă, nu doar fișierele. Firmele care fac acest test o dată pe trimestru elimină surpriza neplăcută de a descoperi, exact în timpul unei crize, că backupul „activ" nu conținea, de fapt, toate datele necesare.

Principiul suprafeței minime de atac

Fiecare componentă activă pe un site — plugin, script de terță parte, formular, integrare — reprezintă un punct suplimentar prin care ceva poate merge greșit. Principiul suprafeței minime de atac înseamnă păstrarea doar a ce e strict necesar funcțional, nimic „poate fi util cândva".

Un site static — construit fără bază de date și fără cod executat dinamic pe server la fiecare cerere — are o suprafață de atac semnificativ mai mică decât un site dinamic tradițional. Nu există bază de date de compromis prin injecție SQL, nu există panou de administrare expus permanent, iar actualizările de securitate ale unei platforme întregi de tip CMS nu mai sunt necesare.

Asta nu înseamnă că orice site trebuie să fie static — un magazin online sau o platformă cu conținut administrat frecvent are nevoie de dinamism. Dar pentru un site de prezentare de firmă, un site static bine construit elimină, de la bază, categorii întregi de riscuri pe care un CMS clasic le păstrează activ permanent.

Cea mai bună apărare nu e un strat suplimentar de protecție, ci o suprafață de atac cât mai mică de la început.

Ce faci în primele ore după o compromitere

Primul pas, imediat: schimbă toate parolele de acces — panou de administrare, găzduire, registrar de domeniu, e-mailul asociat contului de găzduire — pornind de la premisa că orice credențial existentă poate fi compromisă, nu doar cea folosită efectiv de atacator.

Al doilea pas: izolează site-ul afectat, fie prin punerea lui offline temporar, fie prin restricționarea accesului, pentru a opri răspândirea sau agravarea problemei — de exemplu injectarea continuă de conținut spam în paginile existente.

Al treilea pas: identifică ultima versiune curată din backup, restaurează-o într-un mediu separat pentru verificare, apoi aplică toate actualizările de securitate disponibile înainte de a repune site-ul live. Restaurarea directă, fără verificare, riscă să repună aceeași vulnerabilitate care a permis compromiterea inițială.

Dacă nu ai un backup funcțional testat sau nu ești sigur ce s-a întâmplat exact, un audit tehnic de urgență e mai eficient decât încercările repetate de reparare manuală — vezi datele de contact pentru o intervenție rapidă. Pentru firme care vor o evaluare preventivă, înainte să apară vreo problemă, recomandăm un audit programat — cere o ofertă pentru un astfel de audit, cu prețuri orientative disponibile direct pe site.