Audyt bezpieczeństwa strony internetowej

Strona działa, zapytania przychodzą — i wydaje się, że o bezpieczeństwie można pomyśleć później. Włamanie rzadko wygląda jednak efektownie: najczęściej to cichy skrypt w nieaktualnej wtyczce, który miesiącami rozsyła spam, podmienia odnośniki w wynikach wyszukiwania albo kopiuje bazę klientów. Właściciel dowiaduje się ostatni — od hostingu, z ostrzeżenia przeglądarki albo od samych klientów.

Audyt bezpieczeństwa to sprawdzenie strony, zanim znajdą ją osoby niepowołane. Patrzymy na serwis tak, jak spojrzałby włamywacz, ale wynik trafia do Ciebie: lista słabych punktów, ocena ryzyka dla każdego z nich i zrozumiały plan — co naprawić dziś, a co może poczekać.

Sprawdzamy nie tylko strony, lecz także wszystko wokół: serwer, panel administracyjny, pocztę, integracje płatnicze i skrypty zewnętrzne. Pojedyncza luka zdarza się rzadko — zwykle jest to łańcuch drobiazgów, z których każdy z osobna wygląda niegroźnie.

Co obejmuje audyt

• Rozpoznanie i inwentaryzacja: domeny i subdomeny, otwarte porty, zapomniane kopie serwisu, środowiska testowe i panele administracyjne dostępne z internetu.
• Wersje i aktualizacje: CMS, wtyczki, motywy, biblioteki i oprogramowanie serwera porównujemy z bazami znanych podatności.
• Kod i formularze: wstrzyknięcia SQL, XSS, wgrywanie dowolnych plików, obejście logowania, niebezpieczna obsługa sesji i plików cookie.
• Uprawnienia: konta i role w panelu, prawa do plików i katalogów, dostęp do kopii zapasowych, logów i plików konfiguracyjnych.
• Połączenie i nagłówki: certyfikat, przekierowania, HSTS, CSP, ochrona przed clickjackingiem i wyciekiem danych przez skrypty zewnętrzne.
• Ślady infekcji: obcy kod w szablonach, ukryte odnośniki i strony przelotowe, zbędne zadania w harmonogramie, podejrzane wpisy w logach.
• Odporność: czy kopie zapasowe istnieją, czy odtwarzanie było testowane i ile czasu zajmie przywrócenie serwisu.

Automatyczne skanery znajdują typowe błędy, ale luki logiczne widzi tylko człowiek: cudze zamówienie otwarte z bezpośredniego odnośnika, wejście na konto innego klienta, rabat, który wystarczy podstawić w zapytaniu. Dlatego narzędzia nie zastępują u nas pracy ręcznej, tylko ją uzupełniają.

Co otrzymujesz

Raport piszemy normalnym językiem, zamiast eksportować go ze skanera. Przy każdym znalezisku widać, gdzie je znaleziono, czym grozi firmie i jak je usunąć.

• Listę podatności według priorytetu: krytyczne, ważne, drobne.
• Instrukcje krok po kroku dla programisty lub wsparcia hostingu.
• Ocenę nakładu pracy potrzebnego do usunięcia każdego znaleziska.
• Krótkie podsumowanie dla kierownictwa, bez terminów technicznych.

Jeśli nie masz własnego zespołu, usuwamy znalezione problemy sami: aktualizujemy silnik, czyścimy zainfekowane pliki, zamykamy zbędne dostępy, konfigurujemy kopie zapasowe i kontrolę zmian plików, żeby kolejna próba włamania była widoczna od razu. Po pracach wykonujemy powtórne sprawdzenie i upewniamy się, że luki są zamknięte, a serwis nic nie stracił.

Pracę zaczynamy od krótkiej rozmowy o zadaniu. Ustalamy, co dokładnie sprawdzamy, czy są dostępy do serwera i panelu, czy można ruszać wersję produkcyjną i kiedy ruch jest najmniejszy. Testy na działającym projekcie prowadzimy ostrożnie: nie używamy scenariuszy, które mogłyby położyć stronę lub uszkodzić dane, a znalezionych podatności nie publikujemy ani nie przekazujemy osobom trzecim.

Audyt warto zamówić, gdy serwis przejąłeś razem z firmą, gdy robił go inny zespół, gdy silnik dawno nie był aktualizowany albo gdy pojawiły się dziwne sygnały: wiadomości z formularza trafiają nie tam, w kodzie są nieznane pliki, hosting wysyła ostrzeżenia.

Cena i termin zależą od wielkości serwisu, silnika i głębokości sprawdzenia: dla wizytówki to kilka dni, dla sklepu internetowego z integracjami wyraźnie dłużej. Napisz do nas i opisz projekt w dwóch zdaniach — wycenimy pracę i zaproponujemy formę, która rozwiąże zadanie.