Zabezpečení webu očima návštěvníka

O čem tahle stránka je – a o čem ne

Tohle je průvodce pro majitele webu: co má být zabezpečené na Vaší vlastní stránce a podle čeho lidé poznají, že jste skutečná firma. Nejde o návod, jak poznat podvodný cizí e-shop – to je jiná otázka pro jiné nástroje.

HTTPS: základ, který už nikdo neodpouští

HTTPS znamená, že komunikace mezi návštěvníkem a webem je šifrovaná – nikdo po cestě ji nemůže číst ani upravit. Prohlížeče web bez HTTPS označují jako „Nezabezpečeno" přímo v adresním řádku, a to je nálepka, kterou si žádná firma nemůže dovolit.

• Certifikát musí být platný – prošlý certifikát znamená celoobrazovkové varování místo Vašeho webu. Dnes se běžně obnovuje automaticky; když se obnova rozbije, je to vidět okamžitě.
• Celá cesta musí být šifrovaná – i první příchod přes „http://" se má hned přesměrovat na zabezpečenou verzi, bez oklik.
• Žádný smíšený obsah – zabezpečená stránka, která si načítá obrázky nebo skripty přes nezabezpečené spojení, o část ochrany přichází a prohlížeč to umí ohlásit.

Chyba „připojení není soukromé"

Když návštěvník tuhle chybu vidí na Vašem webu, nejčastější příčinou na straně webu je prošlý nebo špatně nasazený certifikát – a to se dá ověřit a spravit rychle. Stejná hláška ale umí vzniknout i na straně návštěvníka: špatně nastavený čas v zařízení, zásah antiviru nebo veřejná Wi-Fi. Pokud chybu hlásí jeden člověk a ostatním web funguje, hledejte příčinu u zařízení; pokud ji vidí všichni, je řada na certifikátu.

Důvěra není jen šifrování

Návštěvník se rozhoduje podle detailů, které s kryptografií nesouvisí – a přesto rozhodují o tom, jestli zavolá:

• Funkční odkazy – proklik na neexistující stránku říká „tady se o web nikdo nestará".
• Skutečná chybová stránka – web, který na neexistující adresu odpoví „stránka nenalezena", působí spravovaně; web, který mlčky ukáže cokoli, mate lidi i vyhledávače.
• Identifikace firmy – jméno, sídlo a IČO tam, kde je návštěvník čeká. Podrobně v průvodci povinnými údaji.
• Aktuálnost – patička s letopočtem před třemi lety nebo dávno skončená „dovolená" v oznámení podkopávají důvěru tiše a spolehlivě.

Neviditelná vrstva: e-mailová doména

K důvěryhodnosti firmy patří i to, co návštěvník nevidí: nastavení domény pro e-mail. Záznamy SPF a DMARC říkají světu, kdo smí posílat poštu jménem Vaší domény – bez nich se za Vaši firmu může snáz vydávat podvodník a Vaše vlastní e-maily častěji končí ve spamu.

Že to není teoretický problém, víme z vlastního měření: z 10 českých domén, které jsme změřili s nastaveným DMARC, ho 8 provozuje jen v režimu sledování – pravidlo existuje, ale nic nevynucuje. Nastavení je jednorázová práce pro správce domény a audit oba záznamy kontroluje automaticky.

Co z toho zkontroluje audit

Audit prověří HTTPS včetně celé cesty přesměrování, platnost certifikátu, smíšený obsah, chování webu na neexistující adrese, vzorek odkazů, stáří a expiraci domény, SPF a DMARC – a vedle toho důvěryhodnostní detaily jako letopočet v patičce nebo zastaralé technologie v kódu.

Časté dotazy