En kund klickar in på din webbplats och ser varningen "Inte säker" i adressfältet. De flesta stänger sidan just då. De kommer inte tillbaka för att boka tid, be om offert eller lämna sina uppgifter. Och du förstår inte varför telefonen slutat ringa.
Säkerhet känns ofta "tekniskt och långt borta" för företagare. Egentligen handlar det om förtroende: din kund ska kunna lita på dig när hen lämnar uppgifter på din sida. I den här artikeln förklarar jag webbplatssäkerhet ur en företagares perspektiv. Du behöver ingen kunskap om kod eller verktyg. Du behöver bara veta vad du ska titta på och vad du ska be den som sköter din sida om.
Vad betyder hänglåset i adressfältet?
Ser du ett litet hänglås i början av webbadressen är anslutningen mellan besökaren och webbplatsen krypterad. Det som ger detta kallas SSL-certifikat. Kort sagt ser det till att det din kund skriver inte kan läsas av andra på vägen. Det är som att skicka ett brev i ett slutet kuvert i stället för på ett öppet vykort.
Saknas hänglåset kan webbläsaren visa varningen "Inte säker". Hur snygg din sida än är förstör den varningen besökarens första intryck. Google bryr sig också om säkra anslutningar, så ett saknat hänglås kan skada din synlighet.
Den goda nyheten är att detta oftast löses med ett gratis eller billigt certifikat, och de flesta webbhotell ordnar det. Det viktiga är att certifikatet inte går ut. Gör det det kommer varningen tillbaka.
Det du kan kontrollera själv
Du kan kontrollera följande utan teknisk kunskap:
- Hänglåset: öppna din sida i mobilen och på datorn. Finns det ett hänglås i adressfältet, eller dyker en varning upp?
- Dina lösenord: används sidans administratörslösenord på andra ställen? Går det att gissa, som ett födelsedatum, ett telefonnummer eller "123456"?
- Åtkomstlistan: vet du vem som kan logga in på din sida och med vilka rättigheter?
- Senaste uppdateringen: fråga när sidan senast uppdaterades.
- Ett formulärtest: fyll i kontaktformuläret själv och se om meddelandet når dig.
Lösenord och åtkomst: den vanligaste svagheten
Det säkerhetsproblem jag oftast ser hos mina kunder är inget avancerat intrång utan ett svagt eller delat lösenord. Ett lösenord ska vara personligt, långt och inte användas någon annanstans. Eftersom det är svårt att komma ihåg många lösenord är en pålitlig lösenordshanterare en rimlig lösning.
Åtkomsten är lika viktig. En webbdesigner, en tidigare anställd, en praktikant, en reklambyrå. Med tiden ökar antalet personer som kommer in på din sida, och de flesta behåller sin åtkomst efter att arbetet är klart. Alla bör bara ha de rättigheter de behöver, och åtkomsten bör stängas när uppdraget är slut. I stället för att alla delar ett konto bör alla ha sitt eget, så att du kan se vem som gjort vad om något går fel.
En webbplats som hålls uppdaterad
Webbplatser körs på programvara som åldras med tiden. När tillverkarna upptäcker ett säkerhetshål ger de ut en uppdatering. Om du inte uppdaterar finns hålet kvar som en dörr som alla känner till.
Tänk på låset i din ytterdörr. Har tillverkaren meddelat att en viss modell är lätt att öppna och du inte har bytt den litar du bara på tur. Att uppdatera är rutinarbete för en expert. Din uppgift är att se till att det görs regelbundet.
Frågan att ställa är enkel: "När uppdaterades min sidas programvara senast, och vem håller koll på det?" Är svaret "vet inte" eller "aldrig" är det en varningssignal. Ett tydligt underhållsavtal med den som byggde din sida förhindrar de flesta framtida överraskningar. Där bör det stå skriftligen hur ofta uppdateringar görs, vem du når vid problem och hur snabbt du får svar.
Kunduppgifter från ditt kontaktformulär
Namn, telefonnummer och meddelanden som kommer in via ett kontakt- eller bokningsformulär är personuppgifter. Om du har kunder i EU gäller dataskyddsreglerna, GDPR, och att skydda uppgifterna är en juridisk skyldighet.
Fråga den som gör jobbet:
- Vart går formulärets uppgifter, och vem kan se dem?
- Sparas de på sidan eller i e-posten längre än nödvändigt?
- Innehåller formuläret ett samtycke till att samla in personuppgifter och en integritetsinformation?
För juridisk rådgivning ska du vända dig till en jurist. Jag säger bara att den tekniska sidan ska stödja dig i rätt riktning.
Hur märker du att en sida har utsatts för intrång?
Tecknen är oftast dessa:
| Tecken | Vad det kan betyda |
|---|---|
| En sida eller ett inlägg på din webbplats som du inte känner igen | Någon kan ha lagt till innehåll utan tillåtelse |
| Sidans titel ser konstig ut på Google | Sidan kan ha ändrats i illasinnat syfte |
| Besökare skickas vidare till en annan sida | Sidan kan ha tagits över |
| Webbläsaren eller Google visar en varning för farlig sida | Skadligt innehåll kan ha upptäckts |
| Ändringar i administrationen som du inte gjort | Ditt konto kan vara i någon annans händer |
Första stegen
Misstänker du något sådant, håll dig lugn och följ den här ordningen. Ring först direkt den som byggde sidan eller ditt webbhotell. Byt sedan dina lösenord, helst från en annan enhet. Fråga därefter när den senaste backupen togs. Kan kunduppgifter vara påverkade, dokumentera händelsen skriftligen. Försök inte radera filer på egen hand, eftersom du kan förstöra bevis och de spår som behövs för att städa upp.
Städningen gör experten. Hen hittar och tar bort det skadliga innehållet, tar reda på hur inkräktaren kom in, återställer sidan från en ren backup och meddelar vid behov Google att den är städad. Tiden varierar från några timmar till några dagar beroende på omfattningen. Be om en rapport i slutet: vad som hände, var ingången fanns, vad som gjordes och vilka åtgärder som förhindrar en upprepning. Rapporten är viktig både för din trygghet och som stöd om du måste förklara något för kunderna.
Vanliga frågor
Jag driver ett litet företag. Skulle någon angripa min sida?
De flesta attacker riktar sig inte mot en särskild person. Automatiska program söker igenom internet efter svaga sidor. Därför riskerar även små webbplatser att drabbas.
Gör hänglåset min sida helt säker?
Nej. Hänglåset krypterar bara anslutningen. Lösenord, uppdateringar och åtkomsthantering är lika viktiga.
Tas min sida bort från Google om den hackas?
Om skadligt innehåll upptäcks kan Google visa en varning vid din sida, och din placering kan sjunka. När sidan städats och Google informerats försvinner varningen. Hur lång tid återhämtningen tar går inte att säga i förväg.
Hur ofta bör säkerheten kontrolleras?
Uppdateringar och kontroller bör vara regelbundna. Ett månatligt underhållsavtal, eller en kontroll några gånger per år, räcker för de flesta små företag.
Nästa steg
Säkerhet är inget man gör en gång och glömmer, det är en vana som kräver regelbunden omsorg. Kolla i dag om din sida har hänglåset, skriv ner din åtkomstlista och prata igenom luckor med den som sköter din sida. Vill du ha en sida där säkerheten finns med från början hittar du information på min sida om att bygga hemsida.