ওয়েবসাইট সুরক্ষিত রাখতে কোড পড়তে জানা লাগে না। বাস্তবের বেশিরভাগ ঘটনা সাদামাটা: অন্য সেবার পাসওয়ার্ড এখানেও ব্যবহার, অ্যাডমিন অ্যাকাউন্টে দ্বিতীয় ধাপ না থাকা, গোপন কী এমন জায়গায় পেস্ট করা যেখানে সবাই দেখতে পায়, কিংবা এমন ফর্ম যা যা পায় তাই বিশ্বাস করে।
এই তালিকা মালিকদের জন্য, ইঞ্জিনিয়ারদের জন্য নয়। কোনো কিছুই সাইটকে হ্যাকের অযোগ্য করে না, তবে প্রতিটি ধাপ একটি পরিচিত প্রবেশপথ বন্ধ করে। যিনি আপনার সাইট বানান বা দেখভাল করেন, তাঁকে এটি দিন, চ্যাটে Uttra দিয়ে বানালে Uttra-কেও।
বেশিরভাগ হ্যাক হওয়া সাইট সিনেমার মতো আক্রমণে নয়, দুর্বল বা বারবার ব্যবহার করা পাসওয়ার্ড, পুরোনো সফটওয়্যার আর ফাঁস হওয়া কী-র কারণে পড়ে। এই চারটি ঠিক করলেই আপনি অধিকাংশের চেয়ে এগিয়ে থাকবেন।
অ্যাকাউন্ট: সবচেয়ে দুর্বল জায়গা
আপনার হোস্টিং, ডোমেইন রেজিস্ট্রার, ইমেইল ও GitHub অ্যাকাউন্ট আক্রমণকারীর কাছে হোমপেজের চেয়ে বেশি মূল্যবান। এগুলো যার হাতে, সাইটও তার হাতে।
- পাসওয়ার্ড ম্যানেজার ব্যবহার করুন এবং প্রতিটি অ্যাকাউন্টে আলাদা, লম্বা পাসওয়ার্ড দিন।
- যেখানেই সম্ভব টু-ফ্যাক্টর অথেনটিকেশন চালু করুন, বিশেষ করে ইমেইল ও ডোমেইন রেজিস্ট্রারে।
- টিমের সবাই একই লগইন ব্যবহার করবে না। প্রত্যেককে আলাদা অ্যাক্সেস দিন এবং চলে গেলে সরিয়ে দিন।
- রিকভারি আগে ঠিক রাখুন: রিকভারি ইমেইল ও ফোন নম্বর হালনাগাদ রাখুন, যাতে বিকাশ বা ইমেইলের মতো ফোন নম্বরও আপনার কাছেই থাকে।
গোপন কী, যা পেজে কখনো যাবে না
পেমেন্ট, ইমেইল বা AI সেবার API কী মেশিনের পাসওয়ার্ডের মতো। ফ্রন্ট-এন্ড কোডে পেস্ট করলে যে কেউ ব্রাউজারের টুল খুলে কপি করতে পারে।
গোপন তথ্য সার্ভারের দিকে বা প্ল্যাটফর্মের সিক্রেট সেটিংসে রাখুন, স্ক্রিনশটে, অন্যকে পাঠানো চ্যাটে বা পাবলিক GitHub রিপোজিটরিতে নয়। কোনো কী একবারও ফাঁস হয়ে থাকলে লুকাবেন না: সেবাদাতার ওখানে বাতিল করে নতুন বানান।
ফর্ম, লগইন ও ব্যবহারকারীর তথ্য
প্রতিটি ফর্ম একটি দরজা। যিনি বানাচ্ছেন তাঁকে বলুন সার্ভারে ইনপুট যাচাই হচ্ছে কি না, বারবার চেষ্টা সীমিত করা আছে কি না এবং দর্শককে কাঁচা এরর বিবরণ দেখানো হচ্ছে না তো।
- শুধু সত্যিই দরকারি তথ্য নিন, যা রাখেননি তা ফাঁস হবে না।
- পাসওয়ার্ড কখনো সাধারণ লেখা হিসেবে রাখবেন না, প্রমাণিত লগইন পদ্ধতি ব্যবহার করুন।
- সাইট শুধু HTTPS-এ চলছে কি না এবং অনিরাপদ মিশ্র কনটেন্ট নেই কি না নিশ্চিত করুন।
- কার্ডের নম্বর নিজে নেবেন না, পেমেন্ট সেবাদাতার হোস্টেড চেকআউট ব্যবহার করুন।
আপডেট ও তৃতীয় পক্ষের কোড
পুরোনো লাইব্রেরির পরিচিত ফাঁক থাকে, যা আক্রমণকারীরা স্বয়ংক্রিয়ভাবে খোঁজে। আর ব্যবহার না করা প্লাগইন, স্ক্রিপ্ট ও উইজেট সরিয়ে ফেলুন, বাকিগুলো নিয়ম করে, যেমন মাসে একবার, হালনাগাদ করুন। তৃতীয় পক্ষের স্ক্রিপ্ট শুধু বিশ্বস্ত উৎস থেকে নিন।
আপনি যদি কোনো প্রতিষ্ঠান বা নিয়ন্ত্রিত ক্লায়েন্টকে সেবা দেন, তাদের নিরাপত্তার শর্ত কী তা জিজ্ঞেস করে নিন।
চ্যাটে নিরাপত্তা পর্যালোচনা চান
Uttra দিয়ে বানালে সাধারণ ভাষায় পর্যালোচনা চাওয়া যায়। একটি প্রম্পট:
“আমার সাইটের মৌলিক নিরাপত্তা পর্যালোচনা করো: ফর্মে ইনপুট যাচাই ও বারবার জমা দেওয়া সীমিত হচ্ছে কি না, ফ্রন্ট-এন্ড কোডে কোনো গোপন কী আছে কি না, সবকিছু HTTPS-এ চলছে কি না দেখো, আর টু-ফ্যাক্টর চালুর মতো যা আমাকে নিজে করতে হবে তার তালিকা দাও।”
উত্তরটিকে নিশ্চিত করার তালিকা হিসেবে নিন, গ্যারান্টি হিসেবে নয়। ব্যাকআপও রাখুন, কারণ প্রতিরোধ কখনো একশো ভাগ হয় না।