Web sitesini korumak için kod okumana gerek yok. Gerçek olayların çoğu sıradandır: başka bir hizmette de kullanılan şifre, ikinci adımı olmayan yönetici hesabı, herkesin görebileceği yere yapıştırılmış gizli anahtar ya da gelen her şeye güvenen bir form.
Bu liste mühendisler için değil, site sahipleri için yazıldı. Hiçbir madde siteyi kusursuz yapmaz ama her biri yaygın bir girişi kapatır. Siteni kuran ya da bakımını yapan kişiyle paylaş; Uttra'da sohbetle kuruyorsan Uttra ile de.
Hacklenen sitelerin çoğu film gibi saldırılarla değil, zayıf veya tekrar kullanılan şifreler, güncel olmayan yazılımlar ve sızan anahtarlar yüzünden düşer. Bu dört konuyu düzeltirsen çoğunluğun önündesin.
Hesaplar: en zayıf halka
Hosting, alan adı kayıt firması, e-posta ve GitHub hesapların bir saldırgan için ana sayfandan daha değerlidir. Onları ele geçiren siteni ele geçirir.
- Bir şifre yöneticisi kullan; her hesap için uzun ve benzersiz bir şifre belirle.
- İki adımlı doğrulamayı desteklenen her yerde aç; özellikle e-posta ve alan adı hesabında.
- Ekip üyeleri arasında tek hesap paylaşma; herkese ayrı yetki ver, ayrılınca kaldır.
- Önce kurtarma yolunu hazırla: kurtarma e-postasını ve telefon numarasını güncel tut.
Gizli anahtarlar sayfada durmaz
Ödeme, e-posta veya yapay zeka hizmetlerinin API anahtarları makineler için şifre gibidir. Ön yüz koduna konursa herkes tarayıcı araçlarını açıp kopyalayabilir.
Gizli bilgileri sunucu tarafında ya da platformun gizli değişkenler ayarında tut; ekran görüntülerine, başkalarına gönderdiğin mesajlara ve herkese açık GitHub depolarına koyma. Bir anahtar sızdıysa saklama: sağlayıcıda iptal et ve yenisini oluştur.
Formlar, girişler ve kullanıcı verisi
Her form bir kapıdır. Kuran kişiden, sunucunun girdiyi doğruladığını, tekrarlı denemeleri sınırladığını ve ziyaretçiye ham hata ayrıntıları göstermediğini kontrol etmesini iste.
- Yalnızca gerçekten ihtiyaç duyduğun veriyi topla; saklamadığın veri sızmaz.
- Şifreleri düz metin saklama; kanıtlanmış bir giriş yöntemi kullan.
- Sitenin yalnızca HTTPS ile çalıştığından emin ol.
- Kart numarasını kendin alma; ödeme sağlayıcının barındırdığı ödeme sayfasını kullan.
Güncellemeler ve üçüncü taraf kodlar
Eski kütüphanelerin bilinen açıkları vardır ve saldırganlar bunları otomatik tarar. Kullanmadığın eklentileri ve betikleri sil, kalanları aylık gibi düzenli aralıklarla güncelle, üçüncü taraf betikleri yalnızca güvendiğin kaynaklardan yükle.
Kişisel veri işliyorsan KVKK kapsamında veri güvenliği tedbirleri alma yükümlülüğün olduğunu da unutma; bir ihlalde bildirim süreleri vardır, ayrıntıyı bir uzmana sor.
Sohbette güvenlik kontrolü iste
Uttra ile kurarken sade bir dille inceleme isteyebilirsin. Yapıştırabileceğin bir komut:
“Sitemi temel güvenlik açısından incele: formlar girdiyi doğrulasın ve tekrarlı gönderimleri sınırlasın, ön yüz kodunda gizli anahtar olmasın, her şey HTTPS üzerinden sunulsun, ve iki adımlı doğrulamayı açmak gibi benim elle yapmam gerekenleri listele.”
Cevabı garanti değil, doğrulayacağın bir liste olarak gör. Yedek de tut, çünkü önlem hiçbir zaman yüzde yüz olmaz.