Bezpieczeństwo to nie produkt kupowany raz na zawsze. To zestaw nawyków stosowanych konsekwentnie. Dobra wiadomość: większość firmowych stron i aplikacji webowych pokrywa znaczącą większość realnych ryzyk ryzyka kilkoma podstawowymi praktykami.

HTTPS i obsługa certyfikatów

Każda strona musi działać po HTTPS. To już nie jest „miłe mieć”, przeglądarki, użytkownicy i wyszukiwarki traktują HTTP jako zepsute. Przekierowujcie HTTP na HTTPS, odnawiajcie certyfikaty automatycznie (darmowe u większości hostingów) i zadbajcie, żeby nie było ostrzeżeń o mieszanych treściach.

Uwierzytelnianie zrobione dobrze

• Długie hasła lub frazy zamiast krótkich i „skomplikowanych”.
• Włączcie 2FA wszędzie, gdzie to ważne, panele admina, hosting, poczta, narzędzia płatnicze.
• W zespole korzystajcie z menedżera haseł, nie wspólnego arkusza.
• Usuwajcie konta odchodzących pracowników. „Uśpione” konta to częsty punkt wejścia.

Dostęp administracyjny

Adresy paneli admina nie powinny być łatwe do odgadnięcia z zewnątrz. Limitujcie próby logowania, logujcie nieudane próby i rozważcie dodatkową warstwę (allowlist IP lub VPN) dla paneli wrażliwych.

Aktualizacje oprogramowania

Większość publicznych podatności jest szybko łatana po ujawnieniu; faktyczne ryzyko rośnie, gdy oprogramowanie nie było aktualizowane miesiącami. Utrzymujcie framework, CMS, wtyczki, środowisko uruchomieniowe i biblioteki. Zaplanujcie rutynowe aktualizacje, a nie „po incydencie”.

Bezpieczna obsługa danych wejściowych

• Waliduj po stronie serwera, nie tylko w przeglądarce, wszystko, co przychodzi od klienta, może być zmodyfikowane.
• Używajcie zapytań parametryzowanych lub porządnego ORM-a, żeby zablokować SQL injection.
• Poprawnie eskejpujcie wyjście, żeby blokować XSS.
• Ograniczcie, jakie pliki użytkownik może wysłać i gdzie trafiają.
• Limitujcie tempo żądań w punktach atakowanych (logowanie, rejestracja, kontakt).

Sekrety i konfiguracja

• Nie wpisujcie haseł, kluczy API ani tokenów w kodzie źródłowym.
• Trzymajcie je w zmiennych środowiskowych lub menedżerze sekretów, poza repozytorium.
• Rotujcie sekrety, gdy ktoś odchodzi lub po jakimkolwiek incydencie.

Kopie zapasowe i odtwarzanie

Backup nie jest backupem, dopóki nie zostanie przywrócony. Regularne, automatyczne kopie są niezbędne, tak samo jak przećwiczona procedura odtwarzania. Ransomware i przypadkowe usunięcia zdarzają się prędzej czy później każdemu.

Monitoring i logi

Nie da się reagować na to, czego się nie widzi. Minimum: logi serwera, wychwytywanie błędów aplikacji i alerty na nietypowe skoki odpowiedzi 401/403/500. Tak poznaje się atak wcześnie, a nie po fakcie.

Prywatność i zgodność

• Zbierajcie tylko te dane, których naprawdę potrzebujecie.
• Miejcie realistyczną politykę prywatności i zgodę na cookies, nie szablon skopiowany skądś.
• Wiedzcie, które dane są regulowane (płatności, zdrowie, dane osobowe pod RODO) i traktujcie je odpowiednio.

Najczęstsze błędy

• Audyty kończące się na raporcie. Ustalenia wymagają naprawy i weryfikacji, nie archiwizacji.
• „Jesteśmy za mali, żeby nas atakować”. Większość ataków jest automatyczna i szuka dowolnego niezałatanego systemu.
• Uwaga tylko na hasła. 2FA, aktualizacje, backupy i monitoring mają większe znaczenie niż reguły złożoności hasła.
• Jedna osoba trzyma wszystkie klucze. Krytyczny dostęp musi mieć opisanego, zastępczego właściciela.