Bezpečnost webu z pohledu útočníka

Denně zkoušíme adresy, kde se často válí věci, které na veřejný web nepatří: /.env s hesly k databázi, /.git/config, záloha wp-config.php.bak, phpinfo.php, ladicí logy, backup.zip a dump.sql. Nestačí nám, že soubor existuje. Kontrolujeme i jeho obsah, aby upozornění nebylo planým poplachem.

Hlavičky jako HSTS, Content-Security-Policy nebo X-Frame-Options říkají prohlížeči, jak se má k webu chovat. Kontrolujeme šest nejdůležitějších a dáme webu známku od A do F. Co která hlavička dělá, vysvětluje návod Bezpečnostní hlavičky srozumitelně.

Když Google najde na webu malware nebo phishing, zobrazí návštěvníkům Chrome červené varování a upozorní na web i ve výsledcích vyhledávání. Každých 6 hodin se ptáme, jestli váš web na seznamu není.

U WordPressu s pluginem Nightshift hlídáme i zranitelné verze pluginů, nové administrátory, zapnutý ladicí režim a starou verzi PHP. Víc na stránce správa WordPressu.