Sigurnosna lista provjera web stranica: 20 stavki za provjeru odmah

Kibernetički napadi više nisu rezervirani samo za Fortune 500 kompanije i državne agencije. Prema Izvješću o istraživanju kršenja podataka Verizona, 43% svih zabilježenih kršenja u 2025. godini ciljalo je mala i srednja poduzeća. Napadači znaju da manje organizacije često nemaju posvećene sigurnosne timove, što ih čini lakom metom za automatizirane alate za eksploataciju koji skeniraju internet non-stop. Jedna kompromitirana kontaktna forma ili zastarjeli dodatak mogu izložiti podatke kupaca, drastično smanjiti rangiranje na tražilicama i potaknuti regulatorne kazne koje daleko nadmašuju troškove prevencije.

U GRADAX-u smo izbliza vidjeli posljedice. Klijent koji je vodio regionalnu e-trgovinu obratio nam se nakon što je na njegovoj stranici za plaćanje ubačen skimmer za kreditne kartice koji je djelovao neprimijećen jedanaest dana. Financijska šteta bila je značajna, ali reputacijska šteta bila je još gora, stopa povratnih kupaca pala je za 38% u kvartalu nakon objave. Taj nas događaj uvjerio je u načelo koje sada primjenjujemo na svaki projekt: sigurnost je infrastruktura, a ne naknadna misao.

Ovaj popis sažima dvadeset najučinkovitijih sigurnosnih mjera koje provodimo u okviru naših usluga hostanja i razvoja web stranica. Nije vam potreban šesteroznamenkasti proračun za sigurnost da biste ih proveli. Većinu možete realizirati u jednom popodnevu, a zajedno eliminiraju većinu vektora napada koje stvarni prijetnje koriste. Bilo da upravljate vlastitim poslužiteljima ili se oslanjate na upravljanu uslugu hostanja, ove provjere vrijede i za vas.

Svaka stranica na vašoj web stranici treba se učitavati preko HTTPS-a s važećim SSL certifikatom. To je u 2026. godini neupitno. Preglednici označavaju HTTP stranice kao nesigurne, tražilice ih kažnjavaju u rezultatima pretraživanja, a bilo koji podatak koji se prenosi bez enkripcije, lozinke, popunjene forme, detalje plaćanja, može biti presretnut od strane bilo koga u istoj mreži. Besplatni certifikati Let's Encrypt uklonili su trošak kao izgovor, pa nema razloga za odlaganje.

Osim instalacije certifikata, provjerite namešta li vaš poslužitelj HTTPS tako da sve HTTP zahtjeve preusmjerava pomoću 301 redirecta. Provjerite je li HSTS (HTTP Strict Transport Security) zaglavlje postavljeno s max-age od najmanje jedne godine i sadrži direktivu includeSubDomains. Ovo govori preglednicima da se uvijek povežu putem HTTPS-a, čak i ako korisnik unese URL bez protokola. Također preporučujemo dodavanje vaše domene na HSTS preload listu koju održavaju proizvođači preglednika, čime se zahtjev za HTTPS izravno ugrađuje u Chrome, Firefox i Safari.

Uobičajene zamke uključuju upozorenja o mješovitom sadržaju, gdje se stranica učitava preko HTTPS-a, ali referencira slike, skripte ili stilove preko HTTP-a. Pokrenite crawl alatima poput Screaming Frogova ili koristite konzolu za razvojne programere u pregledniku kako biste identificirali probleme s mješovitim sadržajem. Svaki resurs, fontovi, analitičke skripte, ugrađeni iframe-ovi, API endpoint-i, mora koristiti HTTPS URL-ove. Jedan HTTP resurs može uzrokovati nestanak ikone brave i erodirati povjerenje posjetitelja.

Zastario softver je najeksploatiraniji vektor napada na webu. Jezgra WordPressa, dodaci, teme, operativni sustavi poslužitelja, PHP runtime-i, baze podataka, svaki sloj vašeg steka redovito prima sigurnosne zakrpe, a svaki nepopravljeni komponenta dokumentirana je ranjivost koju napadači mogu iskoristiti standardnim alatima. Kršenje Equifaxa koje je izložilo 147 milijuna zapisa uzrokovano je jednom nepopravljenom Apache Struts ovisnošću. Opseg nije preduvjet za katastrofu.

Preporučujemo disciplinirani ritam ažuriranja: kritične sigurnosne zakrpe unutar 24 sata od objave, sva druga ažuriranja unutar sedam dana. Za WordPress stranice omogućite automatska manja i sigurnosna ažuriranja barem. Za prilagođene aplikacije integrirajte skeniranje ovisnosti u svoj deployment pipeline; alati poput Dependabota, Snyka ili Renovatea flagirat će ranjive pakete prije nego što stignu u produkciju. Ako se nalazite na našem managed hosting-u, mi automatski obrađujemo zakrpe za operativni sustav i runtime, ali ovisnosti na razini aplikacije ostaju vaša odgovornost.

Testirajte ažuriranja u staging okruženju prije nego što ih primijenite na produkciju. Vidjeli smo kako dobro zamišljene sigurnosne zakrpe pokvare platne gateway-e, kontakt forme i tokove autentifikacije jer je ažuriranje dodatka unijelo nekompatibilnost. Pet minuta testa u stagingu sprječava pet sati outage-a u produkciji. Ako vaš provider hostanja ne nudi staging okruženje jednim klikom, to je samo po sebi dovoljan razlog da razmotrite prelazak na provider koji to nudi.

Lozinke ostaju najslabija karika u većini sigurnosnih lanaca. Napadi credential stuffinga, gdje napadači testiraju kombinacije korisničkih imena i lozinki procurile iz drugih kršenja, čine više od 60% napada povezanih s prijavom. Ako je vaša WordPress admin lozinka "company2024" ili vaša root lozinka baze podataka "password123", efektivno ostavljate prednja vrata otvorenima. Svaki račun s pristupom vašoj web infrastrukturi treba koristiti jedinstvenu lozinku od najmanje šesnaest znakova generiranu pomoću upravitelja lozinki.

Višefaktorska autentifikacija (MFA) je najučinkovitija obrana protiv neovlaštenog pristupa. Čak i ako napadač dobije valjanu lozinku kroz phishing ili kršenje podataka, ne može se prijaviti bez drugog faktora. MFA provodimo na svakom admin računu na našoj hosting platformi i snažno preporučujemo našim klijentima da učine isto za svoje CMS-ove, registratore domena, DNS providere, email i bilo koji SaaS alat s pristupom produkcijskim podacima. Aplikacije za autentifikaciju poput Authya ili hardverske ključeve poput YubiKeyja mnogo su sigurnije od SMS kodova, koji su ranjivi na SIM-swapping napade.

Ograničite broj pokušaja prijave prije aktiviranja blokade ili CAPTCHA izazova. Pet neuspjelih pokušaja unutar deset minuta trebalo bi blokirati račun na petnaest minuta ili zahtijevati ljudsku verifikaciju. Ova jednostavna mjera zaustavlja brute-force napade na licu mjesta. Također četvrtasto auditirajte popis admin korisnika; uklonite račune bivših zaposlenika, ugovornika i agencija s kojima više ne surađujete. Svaki aktivan račun je površina napada.

Backupi su vaša zadnja linija obrane kada sve ostalo zakaže. Ransomware enkriptira vaše datoteke, rogue plugin briše vašu bazu podataka, developer slučajno izbriše produkcijsku mapu uploada, bez pouzdanog, testiranog backupa, bilo koji od ovih scenarija može značiti trajni gubitak podataka. Pitanje nije trebate li backupe, već bi li vaša trenutna strategija backupa zapravo spasila u krizi.

Pravilo 3-2-1: čuvajte najmanje tri kopije podataka, na dva različita medija za pohranu, pri čemu jedna kopija mora biti pohranjena izvan lokacije. Za web stranice to znači automatske dnevne sigurnosne kopije koje se spremaju na istom poslužitelju (za brzi oporavak), repliciraju na zasebni poslužitelj ili u oblak (za redundanciju) i arhiviraju na geografski udaljeno mjesto (za oporavak od katastrofe). Naša infrastruktura za sigurnosno kopiranje i oporavak zadržava dnevne snimke stanja trideset dana, tjedne snimke tri mjeseca, a mjesečne snimke godinu dana.

Najkritičniji i najčešće zanemareni korak je testiranje sigurnosnih kopija. Sigurnosna kopija koju nikada niste obnovili nije sigurnosna kopija kojoj možete vjerovati. Planirajte kvartalne vježbe obnove tijekom kojih pokrećete okruženje za testiranje iz najnovije sigurnosne kopije i provjerite učitava li se web stranica ispravno, je li baza podataka neoštećena, jesu li prisutna korisnička opterećenja i radi li sav funkcionalitet. Susreli smo klijente čiji su poslovi sigurnosnog kopiranja tiho neuspjeli mjesecima jer je nedostajalo prostora na disku ili su istekle vjerodajnice. Saznajte to tijekom vježbe, a ne tijekom incidenta.

Web aplikacijski vatrozid (WAF) nalazi se između vaše web stranice i interneta te filtrira dolazni promet kako bi blokirao poznate obrasce napada prije nego što stignu do vaše aplikacije. Sprječava pokušaje SQL injekcije, payloade za napade unakrsnog skriptiranja (XSS), napade traversiranja direktorija i desetine drugih tehnika iskorištavanja koje automatski skeneri neprestano ispituju. Bez WAF-a, vaš kod aplikacije jedina je linija obrane, a jedno zanemareno polje unosa može biti ulazna točka za provaljivanje.

Uparite svoj WAF s redovitim skeniranjem zlonamjernog softvera. Poslužiteljski skeneri poput ClamAV-a, Maldeta ili komercijalnih rješenja tvrtki Sucuri ili Wordfence pregledavaju datotečni sustav na poznate zlonamjerne potpise, sumnjive izmjene datoteka i skripte backdoor-a koje napadači postave za trajni pristup. Planirajte dnevna skeniranja i konfigurirajte upozorenja za svaku detekciju. Također preporučujemo praćenje integriteta datoteka koje prati kontrolne zbrojeve ključnih datoteka . Datoteke jezgre WordPressa, konfiguracijske datoteke, binarne datoteke poslužitelja i odmah vas upozorava ako se bilo koja datoteka neočekivano promijeni.

Na razini mreže konfigurirajte vatrozid poslužitelja tako da dopušta samo portove i protokole koji su stvarno potrebni vašoj aplikaciji. Tipičan web poslužitelj treba izložiti port 443 (HTTPS), port 80 (HTTP, samo za preusmjeravanje) i vaš SSH port. Sve ostalo, portovi baze podataka, administrativne ploče, alati za razvoj, trebaju biti blokirani za javni pristup i dostupni samo putem VPN-a ili SSH tunela. Ovaj jednostavan korak učvršćivanja eliminira cijele kategorije napada koji se oslanjaju na izložene usluge.

Načelo najmanjih ovlasti jedno je od najstarijih pravila u informacijskoj sigurnosti, no rutinski se krši. Svaki korisnik, servisni račun i API ključ trebaju imati minimalne ovlasti potrebne za obavljanje svoje funkcije, ništa više. Urednik sadržaja ne treba mogućnost instaliranja dodataka. Pripremno okruženje ne treba vjerodajnice produkcijske baze podataka. Skripta treće strane za analitiku ne treba pravo pisanja u vaš DOM.

Pregledavajte uloge korisnika WordPressa, pristup panelu hostinga i SSH ključeve poslužitelja najmanje jednom kvartalno. Uklonite ili smanjite privilegije svakog računa koji ima više ovlasti nego što mu je potrebno. Za razvojne timove koristite kontrolu pristupa temeljenu na ulogama s imenovanim računima, ali nikada ne dijelite jedan administratorski vjerodajnicu među više osoba. Dijeljeni računi onemogućuju praćenje tko je napravio promjenu, što je ključno tijekom istrage incidenta i zahtijeva većina okvira usklađenosti uključujući GDPR i PCI DSS.

API ključevi i vjerodajnice usluga zaslužuju isto takvo pažljivo pregledavanje. Rotirajte ih najmanje jednom godišnje, a odmah nakon što bilo koja osoba s pristupom napusti organizaciju. Spremajte ih u varijable okruženja ili upravitelj tajni, nikada u izvorni kod ili konfiguracijske datoteke predane verzijskom nadzoru. Jedan procurio API ključ u javnom GitHub repozitoriju može se otkriti i iskoristiti u roku od nekoliko minuta; automatizirani botovi ih neprestano skeniraju.

Sigurnosno praćenje pretvara vašu obranu iz pasivnih barijera u aktivni sustav detekcije. Konfigurirajte centralizirano bilježenje koje bilježi pokušaje prijave, promjene datoteka, modifikacije dozvola, stope pogrešaka i izlazne mrežne veze. Upišite ove zapise u platformu za praćenje koja primjenjuje pravila korelacije i detekciju anomalija. Nagli porast neuspjelih pokušaja prijave s jednog raspona IP adresa, neočekivana nova PHP datoteka u vašem direktoriju za opterećenje ili neuobičajena izlazna veza prema stranom poslužitelju, ovo su rani znakovi upozorenja koji prethode provaljivanju.

Jednako je važno imati plan odgovora na incidente prije nego što vam zatreba. Dokumentirajte korake koje će vaš tim slijediti kada se otkrije provaljivanje: tko se obavještava, kako se pogođeni sustav izolira, gdje se čuvaju forenzički dokazi, kako se obavještavaju kupci i kada kontaktirati policiju ili regulatorne tijela. Vježbajte ovaj plan najmanje dvaput godišnje. Prema našem iskustvu, organizacije s testiranim planom odgovora na incidente rješavaju incidente 60 % brže i trpe znatno manje financijske i reputacijske štete od onih koje improviziraju pod pritiskom.

Ako upravljanje svim ovim zvuči zastrašujuće, to bi trebalo pojačati zašto je važno raditi s pružateljem usluga koji integrira sigurnost u svoju infrastrukturu. U GRADAX-u svaki hosting paket uključuje automatsko zakrpavanje, dnevna skeniranja zlonamjernog softvera, zaštitu WAF-a i 24/7 praćenje kao standardne značajke. Sigurnost nije dodatna prodaja, ona je osnovica. Ako vaš trenutni pružatelj usluga tretira je kao opcionalnu, kontaktirajte nas i pokazat ćemo vam kako izgleda proaktivna sigurnost u praksi.