אבטחת אתרים וגיבוי אתר: מה כל בעל עסק קטן צריך לדעת

רוב בעלי העסקים נזכרים באבטחת אתרים רק ביום שבו האתר נפרץ, מציג פרסומות מוזרות או פשוט לא עולה. החדשות הטובות הן שלא צריך להיות מומחה סייבר כדי להגן על אתר עסקי. מספיק להבין כמה עקרונות בסיסיים, לוודא שמישהו מטפל בהם באופן קבוע, ולדאוג לגיבוי אתר שאפשר באמת לשחזר ממנו.

למה פורצים דווקא לאתר של עסק קטן?

הרבה אנשים חושבים שהאתר שלהם קטן מדי כדי לעניין מישהו. בפועל, רוב הפריצות לא מכוונות אליכם אישית. מדובר בתוכנות אוטומטיות שסורקות אלפי אתרים ומחפשות פרצה מוכרת, למשל תוסף שלא עודכן.

כשהן מוצאות פרצה, הן משתמשות באתר כדי לשלוח ספאם, להפנות גולשים לאתרים זדוניים או לאחסן קבצים מפוקפקים. התוצאה עבורכם: לקוחות שמקבלים אזהרה בדפדפן, ירידה בגוגל ולפעמים חסימה של האתר אצל ספק האחסון.

האיומים הנפוצים, בשפה פשוטה

תוספים ותבניות שלא עודכנו

זה הגורם הנפוץ ביותר לפריצות לאתרי וורדפרס ומערכות דומות. כשמתגלה חולשה בתוסף, היצרן משחרר עדכון, אבל אם אף אחד לא מתקין אותו, הפרצה נשארת פתוחה וכבר ידועה לכולם.

סיסמאות חלשות

סיסמה כמו שם העסק ומספר הטלפון נפרצת בקלות בניסיונות ניחוש אוטומטיים. גם שימוש באותה סיסמה בכמה מקומות מסוכן: אם היא דלפה משירות אחר, היא תנוסה גם על האתר שלכם.

נוזקות (Malware)

קוד זדוני שמושתל באתר אחרי פריצה. לפעמים הוא שקט לגמרי ופועל ברקע, ולכן בעל העסק מגלה עליו רק כשגוגל מסמן את האתר כמסוכן.

ספאם

טפסי יצירת קשר ותגובות הם מטרה קבועה לבוטים. מעבר למטרד, ספאם יכול לסתום את תיבת המייל ולגרום לכם לפספס פניות אמיתיות.

מתקפות הצפה (DDoS)

במתקפה כזו שולחים לאתר כמות עצומה של בקשות בבת אחת, עד שהשרת לא מצליח לענות לגולשים אמיתיים. האתר לא נפרץ, אבל הוא פשוט לא זמין. הגנה מפני זה מגיעה בעיקר מרמת השרת והאחסון, ולכן חשוב לבחור אחסון אתרים איכותי.

יסודות אבטחת אתרים: מה חייב להיות במקום

תעודת SSL

תעודת SSL מצפינה את המידע שעובר בין הגולש לאתר, ומוסיפה את ה-https בכתובת. בלעדיה הדפדפן מציג אזהרה "לא מאובטח", מה שמרחיק לקוחות. היום יש תעודות בסיסיות בחינם, ולכן אין סיבה שאתר עסקי יעבוד בלי SSL.

עדכונים שוטפים

מערכת הניהול, התבנית וכל התוספים צריכים להתעדכן באופן קבוע. כדאי שמישהו יבדוק את העדכונים לפני ההתקנה או מיד אחריה, כי לפעמים עדכון שובר תצוגה או פונקציה באתר.

עוד הרגל טוב: למחוק תוספים שלא משתמשים בהם. כל תוסף מיותר הוא עוד דלת אפשרית לפורצים.

חומת אש (Firewall)

חומת אש לאתר מסננת תעבורה חשודה לפני שהיא מגיעה לאתר עצמו. היא חוסמת ניסיונות ניחוש סיסמאות, בקשות מכתובות ידועות כזדוניות וניסיונות לנצל פרצות מוכרות.

סיסמאות חזקות ואימות דו-שלבי

השתמשו בסיסמה ארוכה וייחודית לכל מערכת, ושמרו אותה במנהל סיסמאות. מעבר לזה, הפעילו אימות דו-שלבי (2FA) בכניסה לממשק הניהול: גם אם מישהו השיג את הסיסמה, הוא יצטרך גם קוד מהטלפון שלכם.

אל תשכחו את שאר הכניסות: חשבון הדומיין, חשבון האחסון והמייל העסקי. פריצה לאחד מהם יכולה להיות מסוכנת לא פחות מפריצה לאתר.

גיבוי אתר: רשת הביטחון האחרונה

גם האתר המוגן ביותר יכול להיפגע: פריצה, עדכון שהשתבש או מחיקה בטעות. גיבוי אתר טוב הוא מה שמאפשר לחזור לגרסה תקינה תוך זמן קצר במקום לבנות הכול מחדש.

כל כמה זמן לגבות?

לאתר עסקי מומלץ גיבוי יומי אוטומטי. באתר שמתעדכן לעיתים רחוקות אפשר להסתפק בפחות, אבל בחנות אינטרנטית, שבה נכנסות הזמנות כל יום, גיבוי יומי הוא המינימום.

איפה לשמור את הגיבוי?

גיבוי שנשמר על אותו שרת של האתר לא יעזור אם השרת עצמו נפגע. לכן חשוב שעותק יישמר מחוץ לשרת (Off-site), במיקום נפרד.

כמה זמן לשמור גיבויים?

תקופת שמירה של כ-30 יום היא נקודת פתיחה טובה. הסיבה: לפעמים מגלים פריצה או תקלה רק אחרי שבוע או שבועיים, ואז הגיבוי של אתמול כבר מכיל את הבעיה. עם היסטוריה של חודש אפשר לחזור לנקודה שלפני שהכול התחיל.

לבדוק שהשחזור עובד

גיבוי שמעולם לא נבדק הוא הימור. כדאי לבצע מדי פעם שחזור ניסיון לסביבת בדיקה ולוודא שהאתר עולה, התמונות במקום והטפסים עובדים.

ניטור: לדעת על בעיה לפני הלקוחות

ניטור זמינות בודק את האתר כל כמה דקות ומתריע כשהוא לא עונה. ניטור אבטחה סורק קבצים חשודים ושינויים לא צפויים. השילוב מאפשר לטפל בתקלה מהר, לפעמים עוד לפני שמישהו שם לב.

כדאי גם לחבר את האתר ל-Google Search Console. גוגל ישלח לכם הודעה אם הוא מזהה באתר תוכן זדוני או בעיית אבטחה.

רשימת בדיקה מעשית לאבטחת האתר

הסעיף האחרון חשוב יותר ממה שנראה. הרבה אתרים נפרצים לא בגלל חוסר ידע, אלא כי כל צד חשב שמישהו אחר מטפל בעדכונים. במנוי של SiteClub, למשל, גיבויים יומיים שנשמרים 30 יום, SSL, חומת אש, ניטור ועדכוני מערכת ותחזוקת שרתים כלולים בחבילה, כך שלא צריך לנהל את התחזוקה הטכנית לבד. אם אתם משווים עלויות, שווה לקרוא גם כמה עולה לבנות אתר לעסק ולבדוק מה כלול בכל הצעה.

שאלות נפוצות

האם תעודת SSL מספיקה כדי שהאתר יהיה מאובטח?

לא. SSL מצפין את התקשורת בין הגולש לאתר, אבל לא מונע פריצה דרך תוסף לא מעודכן או סיסמה חלשה. הוא רכיב אחד מתוך כמה שצריכים לעבוד יחד.

ספק האחסון שלי אומר שהוא מגבה. זה מספיק?

תלוי. כדאי לברר כל כמה זמן מתבצע הגיבוי, כמה זמן הוא נשמר, האם הוא נשמר מחוץ לשרת ומי מבצע את השחזור בפועל. לפעמים גיבוי של ספק האחסון שמור רק ימים ספורים או כרוך בתשלום על שחזור.

מה עושים אם האתר נפרץ?

קודם כול מחליפים את כל הסיסמאות הרלוונטיות. אחר כך משחזרים מגיבוי נקי מלפני הפריצה, מעדכנים את כל הרכיבים וסוגרים את הפרצה שדרכה נכנסו. אם אין לכם ידע טכני, עדיף לפנות לאיש מקצוע מאשר לנסות לנקות את האתר לבד.

כל כמה זמן צריך לעדכן תוספים?

עדכוני אבטחה כדאי להתקין מוקדם ככל האפשר, רצוי תוך ימים ספורים. שאר העדכונים אפשר לרכז לבדיקה שבועית קבועה, תמיד אחרי שיש גיבוי עדכני.