Trygg nettside: slik sikrer du bedriftens nettside

Hva en trygg nettside består av

En nettside er satt sammen av mange deler som må virke sammen: domene, drift og server, tema, plugins, skjemaer, eventuelt en betalingsløsning og den innholdsbiten du redigerer i til daglig. Sikkerheten bestemmes av det svakeste leddet, ikke av den delen du har brukt mest penger på.

En praktisk inndeling er denne: hindre at uvedkommende kommer inn, sørge for at data ikke forsvinner, og gjøre det tydelig for kunden at de er på riktig sted. De fleste alvorlige hendelser starter i en av disse tre.

Ingen kan garantere at en nettside aldri blir kompromittert. Målet er å redusere risikoen, oppdage avvik raskt og ha en plan for å komme tilbake i normal drift.

HTTPS, oppdateringer og tilgang

HTTPS er det første og viktigste tiltaket, og vises som et hengelås i nettleseren. Det krypterer kommunikasjonen mellom besøkende og nettstedet. Men HTTPS beskytter bare forbindelsen. En svindler kan ha gyldig sertifikat på en falsk nettbutikk, så hengelåsen er ikke et kvalitetsstempel i seg selv.

Det andre er oppdateringer. Temaer, plugins og nettsidebyggere videreutvikles stadig, både med funksjoner og med sikkerhetsrettinger. En nettside som ikke oppdateres, blir gradvis mer sårbar. Sett av en fast rutine, og fjern det du ikke bruker. Et plugin ingen bruker, er bare en ekstra dør inn.

Det tredje er tilgang. Ha oversikt over hvem som har administratorrettigheter, bruk sterke passord og to-trinns pålogging, og fjern tilganger når noen slutter eller når du bytter leverandør. Gamle brukere som fortsatt har tilgang, er et vanlig etterslep. Mer om hva som ellers kjennetegner en profesjonell nettside.

Backup og beredskap: planen før noe skjer

Sikkerhetskopi er det tiltaket folk angrer mest på at de ikke hadde. Ta automatisk kopi av både filer og database, og oppbevar kopien et annet sted enn der nettsiden kjører. En kopi på samme server forsvinner sammen med originalen.

Test gjenoppretting innimellom. En backup du aldri har prøvd å hente tilbake, er en antakelse, ikke en sikkerhet. Du bør vite hvem som setter nettsiden opp igjen, og hvordan det gjøres.

Beredskap handler også om å oppdage. Sett opp varsling på endringer du ikke har gjort selv, og se over nettsiden jevnlig. Nettlesere og søkemotorer varsler brukere om kjente farlige nettsteder, og et slikt varsel vil du ikke ha på ditt eget domene.

Skjemaer, henvendelser og personopplysninger

Kontaktskjema, booking, nyhetsbrev og bestillingsskjema samler personopplysninger. Det gjør deg til behandlingsansvarlig for det som kommer inn, også når skjemaet er levert av en tredjepart. Du må vite hvor opplysningene lagres, hvem som har tilgang og hvor lenge de blir liggende.

Personvernerklæringen skal beskrive det du faktisk gjør, ikke en standardtekst hentet fra nettet. Gå gjennom hvert skjema og hver tjeneste du har koblet på, og skriv ned formålet med hver enkelt. Hva som må være med, går vi gjennom i personvern og GDPR for nettsider, og en enklere inngang for små virksomheter og foreninger finnes i GDPR for små bedrifter og foreninger.

Har du tatt i bruk chat eller andre AI-verktøy på nettsiden, må du vite hva som sendes videre til leverandøren og om det finnes en databehandleravtale. Det er lett å glemme at en chatbot også samler henvendelser.

Netthandel krever litt mer

Driver du nettbutikk, kommer det egne opplysningskrav i tillegg: vilkår, informasjon om angrerett, hvem som står bak nettstedet og hvordan returer håndteres. Reglene gjelder selv om du selger lite. Sjekk hva som gjelder for deg, blant annet i angrerett for bedrifter.

En enkel test er å bestille en vare selv, som kunde. Fungerer skjemaet, kommer ordrebekreftelsen, står opplysningene der de skal, og er det tydelig hvem du handler med? Det du oppdager i den runden, er ofte det kundene dine snubler i.

Hva du gjør selv, og hva du bør sette bort

Det grunnleggende kan du gjøre selv: sjekke at HTTPS virker, rydde i brukere, sette opp sikkerhetskopi og skrive en kort rutine for oppdateringer. Det tar noen timer første gang og lite tid etterpå.

Det du bør vurdere å sette bort, er det som krever jevnlig oppfølging: oppdateringer, overvåking og gjenoppretting når noe først har skjedd. Poenget er ikke at du ikke får det til, men at det må skje også i de ukene du har mest å gjøre.

Trenger du hjelp til å komme i gang, kan du se Nettsagas tjeneste for nettside og book en demo.

Vanlige spørsmål

Hvordan sjekker jeg om en nettside er trygg før jeg handler?

Se på domenenavnet, om det står tydelig hvem som driver nettstedet, og om kontaktinformasjon og vilkår virker troverdige. HTTPS er et minimum, men ikke et bevis på at butikken er seriøs. Søk også etter andres erfaringer, og vær kritisk til anmeldelser, siden falske anmeldelser forekommer.

Er HTTPS nok for å vite at en nettside er seriøs?

Nei. HTTPS krypterer bare forbindelsen mellom deg og nettstedet, og et gyldig sertifikat er enkelt å skaffe. Du må vurdere innhold, kontaktinformasjon og rykte i tillegg, også når hengelåsen er på plass.

Hva må stå i personvernerklæringen på nettsiden min?

Den skal beskrive hvilke personopplysninger du samler inn, hvorfor, hvor de lagres, hvor lenge og hvem du deler dem med. Den må stemme med skjemaene og tjenestene du faktisk bruker. Oppdater erklæringen når du legger til noe nytt.

Hva gjør jeg hvis nettsiden min er blitt hacket?

Sikre logger og ta kopi før du rydder, bytt passord, og finn ut hvordan de kom inn. Gjenopprett fra en kopi du vet er ren, og oppdater alt før nettsiden settes live igjen. Vurder også om du må varsle kunder eller myndigheter.

Bør jeg oppdatere nettsiden selv eller bruke fast avtale?

Det viktigste er at det blir gjort jevnlig, ikke hvem som gjør det. Oppdateringer, sikkerhetskopi og overvåking må skje også i travle perioder. Har du ikke kapasitet til fast oppfølging, er det bedre å avtale det med noen enn å utsette.