Sikker nettside: slik beskytter du bedriften

Hva en sikker nettside betyr i praksis

HTTPS er det mest grunnleggende. Et SSL-sertifikat krypterer trafikken mellom den besøkende og serveren din, slik at passord, kontaktskjemaer og betalingsdetaljer ikke kan leses underveis. Uten det kan andre på samme nett se hva som sendes.

Mange tror hengelåsen i adressefeltet er en garanti. Den viser bare at tilkoblingen er kryptert, ikke at bedriften bak er seriøs. Google har samtidig fjernet hengelåsen i Chrome fordi svært mange sider bruker HTTPS i dag, og viser heller advarsel når du går inn på en side som ikke er sikker. En manglende HTTPS blir dermed kommentert av nettleseren til kunden din.

Sikkerhet er likevel mer enn sertifikatet. Du trenger kontroll på hvem som kan logge seg inn, at programvaren er oppdatert, og at noen faktisk følger med. Nettside for bedrift: den komplette guiden tar helheten, denne artikkelen tar sikkerhetsdelen.

Hosting er fundamentet for sikkerheten

De fleste norske nettsider ligger på en delt server, der flere kunder deler samme maskin. Det er normalt og rimelig, men sikkerhetsnivået avhenger også av naboen. Leverandører håndterer dette ulikt, og noen overlater oppdateringer og sikkerhetsoppsett til kunden selv.

Still konkrete spørsmål før du velger: Oppdateres serverens operativsystem og sikkerhetsprogramvare automatisk? Hvor ofte tas backup, og hvor lenge lagres den? Får jeg varsel hvis noe skjer, og hvem rykker ut? Hva koster en gjenoppretting?

For noen er en isolert server riktig, der nettsiden er den eneste installasjonen. Da påvirker ingen andre sikkerhet eller ytelse, og feil har én kilde. Prisen går opp, så vurderingen bør handle om hva nettsiden faktisk håndterer.

Passord, tilganger og pålogging med to trinn

Svake passord er fortsatt en av de vanligste årsakene til sikkerhetsbrudd. Unike passord per tjeneste, lange passfraser og et passordhvelv framfor en notatfil dekker mye. Passordet til publiseringsløsningen eller nettbutikken skal aldri gjenbrukes.

Slå på to trinns pålogging, ofte kalt 2FA eller MFA. Da hjelper det ikke at passordet blir stjålet, for innloggingen stopper uten den andre faktoren, vanligvis telefonen din. Start med administratorbrukere og alt som kan endre innhold eller se kundeopplysninger.

Rydd i tilganger. Gi hver person det de trenger, ikke mer, og lag egne brukere framfor å dele en felles innlogging. Avslutt tilganger når noen slutter eller et byrå avslutter oppdraget, og styr unna «admin» som brukernavn.

Oppdateringer og vedlikehold som ikke blir glemt

En trygg nettside er en oppdatert nettside. Sikkerhetsoppdateringer skal installeres når de kommer, ikke samles opp. Utdaterte programtillegg er en av de vanligste inngangsportene, nettopp fordi feilene er offentlig kjent.

Sett en fast rutine i kalenderen, for eksempel månedlig: oppdater kjerne, temaer og programtillegg, test skjemaer og betaling, og se gjennom varsler og logger. Skriv kort ned hva som ble gjort, så er det lett å oppdage noe som ble hoppet over.

Ta med ytelse i samme runde. En treg, dårlig vedlikeholdt nettside mister besøkende og synlighet. Slik lager du en SEO-strategi for bedriften viser hvordan teknisk kvalitet henger sammen med søk.

Slik sjekker du om en nettside er sikker

Skal du sjekke en nettside du vurderer å handle fra, finnes det skannere som gjør jobben raskt. Trend Micro har en skanner der du legger inn adressen og får svar på om siden er trygg. Sitechecker og Googles Safe Browsing gir lignende kontroll. Bruk dem som en første sil, ikke som garanti.

For egen nettside er rutinene viktigere. Sjekk at HTTPS virker på alle sider, også undersider og skjemasider, for usikre elementer kan gi advarsel selv om sertifikatet er i orden. Følg med på varsler fra publiseringsløsningen og fra Googles verktøy for webansvarlige.

Får du varselet «ikke sikker» på egen side, ikke legg inn opplysninger før det er rettet. Finn ut om det gjelder sertifikatet, omadressering eller blandet innhold.

Betaling, skjemaer og sensitive opplysninger

Kravet til sikkerhet øker når nettsiden mottar helseopplysninger eller økonomiske opplysninger, eller håndterer betaling. Da bør du gjøre en bevisst vurdering av hele kjeden: hosting, innlogging, skjemaer og betalingsflyt.

For betaling er hovedregelen å la en leverandør håndtere kortdataene, ikke lagre dem selv. Betalingsløsning for nettside: hva bør bedriften velge? går gjennom valgene. Samme prinsipp gjelder skjemaer: samle bare det du trenger for å svare på henvendelsen.

Skal du bygge nytt, ta sikkerheten med i bestillingen fra start. Kravspesifikasjon for nettside: slik bestiller du riktig og Ny nettside? Slik får du hjelp fra en profesjonell beskriver hva du bør avklare. Nettsaga setter opp nettsider der sikkerhet, oppdateringer og oppfølging er en del av leveransen, og du kan book en demo for å se hvordan nettside for bedriften blir satt opp.

Vanlige spørsmål

Hvordan sjekker jeg om en nettside er sikker?

Se etter HTTPS i adresselinjen og om nettleseren viser advarsel. Du kan også bruke en skanner som Trend Micro eller Google Safe Browsing. Sjekk samtidig kontaktinformasjon og vilkår, så du vet at bedriften bak er reell.

Er hengelåsen i Chrome borte?

Google har fjernet hengelåsen i Chrome fordi svært mange sider bruker HTTPS i dag, og viser i stedet advarsel på sider som ikke er sikre. Det er advarselen du skal bry deg om.

Hva koster et SSL-sertifikat?

Det varierer med leverandør og type sertifikat, og mange webhotell inkluderer det i pakken. Sjekk leverandørens egen nettside for gjeldende priser, de kan endres.

Hva gjør jeg hvis nettsiden er hacket?

Bytt passord, slå på to trinns pålogging, oppdater alt og gå gjennom logger for å finne inngangsporten. Gjenopprett fra backup om nødvendig, og varsle leverandør og kunder hvis opplysninger kan være berørt.

Trenger jeg to trinns pålogging på nettsiden?

Ja, i hvert fall for alle med administrator- eller redaktørtilgang. Da stopper innloggingen selv om passordet blir stjålet.