Avtomatski botje vpišejo URL v "ime" polje. Rešitev: honeypot + rate limit + spam keyword filter.
Varnost spletne strani
Varnostni standard pri izdelavi: SSL, HSTS, CSRF, honeypot, rate limit, varnostni headerji, backup in posodobitve.
Varnost spletne strani
Varnost ni en plugin, ampak deset majhnih disciplin.
Pri varnosti ne gre za »ali nas bo nekdo napadel«, ampak »kako hitro bomo opazili in popravili«. Strani, ki ne padejo, so tiste, ki imajo nameščene osnovne zaščite in redne posodobitve.
Hitri pregled
- SSL / HTTPS in HSTS
- CSRF, honeypot, rate limit za vse obrazce
- security headers (CSP, X-Content-Type-Options, ...)
- varnostne kopije in disaster recovery
- posodobitve PHP, knjižnic, MySQL
- pravice dostopa in logiranje
Najpogostejši napadalni vektorji
Kaj realno napada slovenske male in srednje strani.
Spodaj so napadi, ki jih dejansko vidimo v logih naših produkcijskih strani – ne hipotetični scenariji.
Botje preizkušajo gesla na /wp-admin (tudi če stran ni WordPress). Rešitev: rate limit, captcha, blokada po N poskusih.
Poskus vnosa SQL kode v URL parameter ali obrazec. Rešitev: prepared statements, validacija inputa.
JavaScript koda v polju, ki se izpiše drugemu uporabniku. Rešitev: htmlspecialchars + CSP.
Poskus dostopa do .env, .git, backup.sql. Rešitev: .htaccess blokade za znane občutljive datoteke.
Tretja stran sproži obrazec v vašem imenu. Rešitev: CSRF token v vsakem obrazcu.
Naš varnostni standard
Vsaka stran, ki jo izdelamo, prejme ta minimalni set zaščit.
To je osnova, ki ne zahteva dodatnega plačila – brez tega stran ne gre v produkcijo.
SSL certifikat (Let’s Encrypt ali plačan), HSTS header po 2 tednih stabilnega delovanja.
X-Content-Type-Options, Referrer-Policy, Permissions-Policy, X-Frame-Options. CSP po fazi report-only.
CSRF, honeypot, rate limit, time check, spam filter, escape vseh izpisov, validacija inputa.
Dnevni backup baze + datotek, hranjen offsite, 30-90 dni retention.
Vsi neuspešni POST-i, vsi 404, vsi 5xx. Pregled v admin-u ali e-mail summary.
PHP minor, knjižnice, MariaDB - mesečno pregledamo, security patche objavimo prej.