Defaults.Exposed › Taisymai

Ištaisykite savo domeno saugumą – nemokami žingsnis po žingsnio vadovai

Aiškia kalba parašyti vadovai, kaip ištaisyti kiekvieną mūsų vertinamą problemą – SPF, DKIM, DMARC, DNSSEC, TLS, sertifikatus ir HTTP saugumo antraštes. Kiekvienas paaiškina, kas tai yra, kiek tai gali kainuoti jūsų verslui ir kaip tiksliai tai nustatyti pas savo tiekėją.

• Apsauga nuo MIME tipo spėjimo (X-Content-Type-Options)
  Vienos eilutės antraštė, kuri sustabdo naršykles nuo spėjimo, kas iš tikrųjų yra failas. Be jos, failas, kurį kas nors įkelia į jūsų svetainę – ar failas jūsų pačių puslapiuose – gali būti klaidingai interpretuojamas naršyklės ir vykdomas kaip kodas, o tai yra tiksliai tai, kaip kai kurios atakos paverčia nekaltai atrodantį įkėlimą į būdą pavogti jūsų klientų sesijas.
• Apsauga nuo paspaudimų pagrobimo (X-Frame-Options)
  Vienos eilutės nurodymas, kuris neleidžia kitoms svetainėms tyliai įkelti jūsų svetainės jų viduje. Be jo, sukčius gali paslėpti jūsų tikrus, prijungtus puslapius po netikru puslapiu ir apgauti jūsų klientus spausdinti dalykus, kurių jie niekada neturėjo ketinimo – patvirtinti mokėjimą, pakeisti slaptažodį, suteikti prieigą.
• Atvirkštinis DNS (PTR)
  Atvirkštinis DNS yra jūsų verslo el. paštą siunčiančio serverio tapatybės kortelė. Kai gaunantis tiekėjas kaip „Gmail” ar „Microsoft 365” ieško, kas slypi už siuntimo adreso, ir gauna vardą, kuris pasitvirtina, jūsų paštas atrodo teisėtas. Kai nėra kortelės – arba vardas ir skaičius nesutampa – jūsų visiškai tikros sąskaitos faktūros ir pasiūlos laikomos įtartinomis ir tyliai metamos į šiukšles ar atmetamos.
• CAA įrašai
  CAA įrašas yra trumpas nurodymas jūsų domeno nustatymuose, įvardijantis, kurioms sertifikatų įmonėms leidžiama išduoti jūsų svetainės 'spynos' saugumo sertifikatą. Jį įjungus, jokia kita įmonė negali tyliai sukurti galiojančio sertifikato jūsų vardu.
• CDN / WAF ir priegloba
  Du jūsų svetainės santechnikos skaitymai: ar sėdite už apsauginio skydo (CDN su žiniatinklio programos ugniasiene, kaip Cloudflare), kuris filtruoja atakas ir sugeria srauto staigius, ir jūsų DNS, svetainės ir el. pašto iš tikrųjų valdančio žemėlapis. Abu yra informaciniai mūsų vertinime – jie neperkelia jūsų vertinimo – bet jie aprašo, kaip atskleistas jūsų kilmės serveris yra atakoms ir gedimams, ir kaip susipainioję jūsų tiekėjai. Skydas priekyje ir protingai padalintas tiekėjų rinkinys yra tai, kaip atrodo atsparios įmonės.
• DKIM
  DKIM yra nematomas apsauginis antspaudas ant kiekvieno jūsų verslo siunčiamo el. laiško. Jis leidžia gaunančiajam pašto tiekėjui patvirtinti, kad laiškas iš tikrųjų atkeliavo iš jūsų ir atėjo nepakeistas. Be jo jūsų laiškai yra lengviau suklastojami, lengviau pakeičiami ir daug labiau tikėtina, kad pateks į šiukšlių aplanką arba bus atmetami.
• DMARC (apsauga nuo el. pašto klastojimo)
  DMARC yra vienintelis nustatymas, kuris iš tikrųjų sako pasaulio pašto tiekėjams BLOKUOTI el. laiškus, kurie klastoja jūsų verslo vardą. SPF ir DKIM tikrina spynas; DMARC sprendžia, kas atsitinka, kai klastotė nepavyksta tikrinimą – išmesti, pažymėti ar praleisti. Neteisingai nustatytas, jūsų domenas yra visiškai klastojamas; teisingai nustatytas, apsimetimas sustoja prie gautuosiuose.
• DNSSEC
  DNSSEC yra skaitmeninis antspaudas jūsų domeno adresų knygoje. Jis leidžia internetui įrodyti, kad atsakymas į „kur gyvena šis domenas?” tikrai atėjo iš jūsų ir nebuvo pakeistas pakeliui. Be jo, atsakymas gali būti suklastotas – ir jūsų lankytojai tyliai nusiųsti kitur.
• HSTS (Strict-Transport-Security)
  HSTS yra vienos eilutės nurodymas, kurį jūsų svetainė duoda kiekvienai naršyklei: 'visada grįžk pas mane per saugų, šifruotą ryšį – niekada per nesaugų.' Be jo, jūsų spyna gali būti tyliai pašalinta bendrojoje Wi-Fi, ir pats pirmasis jūsų svetainės apsilankymas yra atskleistas.
• HTTPS ir priverstinis saugus peradresavimas
  HTTPS yra naršyklės juostoje esanti spyna – ji šifruoja viską, kas keliauja tarp jūsų svetainės ir klientų, kad jo negalima būtų perskaityti ar sulaužyti tranzitu. Priverstinis saugus peradresavimas užtikrina, kad lankytojai automatiškai patektų į tą šifruotą versiją, net kai jie įveda jūsų adresą be 'https://'. Kartu jie yra pats paprasčiausias dalykas, kurio svetainei reikia, kad apskritai būtų laikoma saugia.
• IPv6 palaikymas
  IPv6 yra naujesnė, daug didesnė interneto adresavimo sistemos versija, įvesta todėl, kad senojoje (IPv4) baigėsi vietos. IPv6 palaikymo pridėjimas reiškia, kad jūsų svetainė ir el. paštas gali būti pasiekiami per šiuolaikinį tinklą, taip pat ir per senąjį. Mūsų vertinime tai yra informacinis – jo neturėjimas nemažina jūsų vertinimo – bet tai yra tikros pasaulio pasiekiamumo problema: auganti mobiliųjų ir užsienio klientų dalis jungiasi per tik-IPv6 tinklus, ir jie jus pasiekia sklandžiai tik jei palaikote. Pataisymas yra nemokamas ir gyvena jūsų DNS ir prieglobos sąrankoje.
• MX įrašai (el. pašto sąranka)
  MX įrašas yra rodyklė, kuri sako visam internetui, kur pristatyti el. laišką, adresuotą jūsų domenui. Jei jo nėra arba jis sugedęs, kiekvienas jums siunčiamas laiškas – kliento užklausa, slaptažodžio atstatymas, sąskaitos faktūra, sutartis – iš karto grąžinamas siuntėjui. Jokio MX – jokio gautųjų.
• Referrer-Policy (nukreipimo politika)
  Referrer-Policy yra vienos eilutės nurodymas, kurį jūsų svetainė perduoda kiekvieno lankytojo naršyklei, valdydama, kiek jūsų žiniatinklio adreso keliauja su jais, kai jie spusteli nuorodą į kitą svetainę. Be jo, visas puslapio, kuriame jie buvo, adresas – paieškos terminai, paskyros numeriai, atstatymo nuorodos, vidiniai puslapio keliai ir viskas kita – tyliai perduodamas kitai svetainei, kurią jie patenka, įskaitant reklamuotojus, analitikos įmones ir visur, kur nukreipia nuoroda.
• Šiuolaikinis šifravimas (TLS versija ir šifrai)
  TLS yra spyna, kuri sumaišo duomenis, tekančius tarp jūsų lankytojų ir jūsų svetainės. Du dalykai daro tą spyną patikimą: šiuolaikinės TLS versijos naudojimas (ne senosios, sulaužytos), ir stiprių šifrų naudojimas (tikrasis maišymo receptas). Šis puslapis apima abu – taip pat keletą susijusių nustatymų, kurie neveikia jūsų vertinimo, bet verta apie juos žinoti.
• SPF (Sender Policy Framework)
  SPF yra eilutė jūsų domeno nustatymuose, kurioje išvardyta, kuriems pašto tiekėjams leidžiama siųsti el. laiškus jūsų verslo vardu. Be jos bet kas pasaulyje gali siųsti laišką, kuris atrodo tarsi atkeliavo iš jūsų – o jūsų tikri laiškai dažniau patenka į nepageidaujamo pašto aplanką.
• Tarpusavio kilmės izoliavimo antraštės (COOP / CORP / COEP)
  Trys neprivalomi naršyklės nurodymai, valdantys, kaip kitoms svetainėms leidžiama sąveikauti su jūsų svetaine – atidarant ją iššokančiuose languose, įterpiant jos paveikslėlius ir scenarijus ar traukiant jos išteklius į savo puslapius. Jie yra šiuolaikinis kietinimas, ne privaloma bazinė priemonė, ir mūsų vertinime jie yra informaciniai: jų trūkumas nemažina jūsų vertinimo. Bet dvi saugios uždaro tylų sukčiavimo ir pralaidumo vagystės atotrūkį, ir atsargus pirkėjo IT komanda pastebės, kai jie yra. Nemokamos, penkiolika minučių kūrėjui, ir nieko nesugadins.
• TLS sertifikato sveikata
  Jūsų SSL/TLS sertifikatas yra skaitmeninė tapatybės kortelė, įrodanti lankytojui, kad jis tikrai kalba su jūsų svetaine – ne su apsimetėliu – ir įjungia naršyklės spyną. Šis tikrinimas vertina, ar tas sertifikatas yra galiojantis ir patikimas, ar netrukus nesibaigia ir ar sukurtas su stipria, šiuolaikine kriptografija.
• Turinio saugumo politika (CSP)
  Turinio saugumo politika yra saugumo taisyklė, kurią jūsų svetainė priskiria kiekvieno lankytojo naršyklei, sakydama jai tiksliai, kokiam kodui leidžiama vykdytis. Be jos, jei kas nors kenksmingas kada nors patenka į puslapį – per komentarų laukelį, nulaužtą priedą ar trečiosios šalies scenarijų – naršyklė jį vykdys laisvai, įskaitant kodą, kuris tyliai skaitytų jūsų klientų kortelių numerius ir slaptažodžius, kai jie įveda, kol spyna vis dar rodoma.
• Vardų serverių sąranka (įvairovė ir SOA)
  Jūsų vardų serveriai yra katalogas, kuris visam internetui sako, kur rasti jūsų svetainę ir el. paštą. Jei visi jie yra viename tinkle ir jis sugenda, jūsų verslas išnyksta iš interneto tuo pačiu metu – nėra svetainės, nėra el. pašto, nieko – ir netvarkingos laikrodžio nustatymas tuose serveriuose gali palikti jūsų atliekamus pakeitimus strigusius dienų dienomis.