אבטחת אתרים שמתחילה במה שרואים מבחוץ
עודכן
אבטחת אתרים היא סגירה של מה שכל אחד יכול לראות באתר שלכם מבחוץ, עוד לפני שמישהו מנסה לפרוץ: חיבור HTTPS ותעודה תקינים, כותרות אבטחה, הגנה מהטמעת האתר בתוך אתר אחר, גרסאות תוכנה חשופות, ספריות קוד ישנות והגנה על הדומיין מזיוף מיילים. אנחנו בודקים, מקשיחים, מתקנים ובודקים שוב באתר החי.
למה אבטחת אתר מתחילה בבדיקה מבחוץ?
כל מה שהאתר שולח לדפדפן גלוי לכל מי שמבקש עמוד: מספרי גרסה, ההוראות שהשרת שולח, הסקריפטים שנטענים והמקור שלהם, ורשומות הדומיין. מדריך ההקשחה הרשמי של וורדפרס מציין שכשיוצא תיקון לחולשה, המידע שדרוש כדי לנצל אותה כמעט תמיד כבר פומבי. גרסה ישנה שגלויה מבחוץ מסמנת בדיוק איפה לנסות.
לכן העבודה מתחילה בבדיקה חיצונית פסיבית: מסתכלים על האתר ועל הדומיין כמו שכל מבקר רואה אותם, בלי פרטי גישה ובלי לנסות לפרוץ. את הבדיקה ואת ההקשחה עושה צוות של מומחים לאבטחת מידע, עם יותר מעשרים שנות ניסיון בתחום, שעובד בטכנולוגיות המתקדמות ביותר ובמערכות AI מתקדמות.
האבטחה היא פרק אחד בבדיקת בריאות האתר, לצד שיפור מהירות אתר והנגשת אתרים.
מה כוללת אבטחת אתרי אינטרנט אצלנו?
שש בדיקות שנעשות מבחוץ, בלי סיסמה ובלי ניסיון פריצה, על האתר עצמו ועל הדומיין שלו.
HTTPS ותעודת אבטחה
שכל כתובת עוברת ל-HTTPS, שהתעודה בתוקף ומתחדשת אוטומטית, ושאין בעמודים קבצים שנטענים בחיבור לא מוצפן. דפדפנים חוסמים סקריפט כזה, וחלק מהעמוד פשוט מפסיק לעבוד.
כותרות אבטחה
ההוראות שהשרת שולח לדפדפן עם כל עמוד: HSTS שאומר לדפדפן לפתוח את האתר מעכשיו רק בחיבור מוצפן, nosniff שמונע ממנו לנחש את סוג הקובץ, ומדיניות Referrer שקובעת כמה מידע על הכתובת עובר לאתרים אחרים.
הגנה מהטמעה באתר אחר
שאתר זר לא יכול להציג את העמודים שלכם בתוך מסגרת שקופה ולגרום לגולש ללחוץ על משהו שהוא לא רואה (clickjacking).
גרסאות תוכנה חשופות
מספרי גרסה של מערכת האתר, של השרת ושל תוספים שגלויים לכל מבקר, ומה צריך להסתיר או לעדכן.
ספריות קוד חיצוניות
סקריפטים שנטענים משרתים של אחרים: איזו גרסה נטענת, האם פורסמו בה חולשות, ומי שולט היום במקור שממנו היא מגיעה.
הגנה מזיוף מייל
רשומות SPF, DKIM ו-DMARC בדומיין, שעוזרות לשרתי הדואר של הלקוחות שלכם לזהות מייל שמתחזה אליכם.
רוצים לדעת מאיפה כדאי להתחיל אצלכם?
מה אפשר לראות באתר שלכם מבחוץ, בלי סיסמה?
אלה דוגמאות למה שבדיקה חיצונית מחפשת, ולמה כל אחת מהן חשובה:
תגית הגרסה של וורדפרס
וורדפרס מוסיפה כברירת מחדל לראש כל עמוד תגית generator עם מספר הגרסה המדויק שלה. מי שיודע את הגרסה יודע גם אילו חולשות פורסמו עליה.
מספרי גרסה בכתובות של קבצים
קבצי CSS ו-JavaScript נטענים לעיתים קרובות עם ?ver= בסוף הכתובת. בוורדפרס, קובץ שלא הוגדרה לו גרסה מקבל את מספר הגרסה של המערכת עצמה.
כותרות של השרת
כותרות כמו Server או X-Powered-By מגלות לפעמים את סוג השרת ואת גרסת PHP שרצה עליו.
תעודה שעומדת לפוג
תעודה לא תקפה גורמת לדפדפן להציג שגיאה במקום האתר, ובאתר שמפעיל HSTS הגולש גם לא יכול לעקוף אותה. התוקף המרבי של תעודות מתקצר בשלבים עד 47 ימים במרץ 2029, ו-Let's Encrypt הפסיקה לשלוח מיילים של תזכורת לפני תפוגה ביוני 2025, ולכן חשוב שהחידוש יהיה אוטומטי ושמישהו יבדוק שהוא עובד.
כתובת http בלי הפניה
כתובת שנפתחת גם ב-http ולא עוברת ל-https מציגה עמוד לא מוצפן. HSTS מגן רק אחרי שהדפדפן כבר ראה את הכותרת, ולכן גם ההפניה עצמה צריכה לעבוד.
למה ספריית קוד חיצונית ישנה היא סיכון אבטחה?
כל סקריפט שנטען מדומיין של מישהו אחר רץ באתר שלכם עם אותן הרשאות כמו הקוד שלכם, ואתם לא שולטים במה שיוגש ממנו מחר. ב-2024 נמכר הדומיין polyfill.io, שממנו אתרים רבים טענו ספריית JavaScript פופולרית, לבעלים חדשים. בסוף יוני של אותה שנה דווח שהקוד שמוגש ממנו שונה, ובמצבים מסוימים הפנה גולשים לאתרים אחרים. האתרים שנפגעו לא שינו דבר בעצמם; הם רק טענו קוד ממקור שסמכו עליו.
זו לא בעיה שולית: ברשימת עשרת סיכוני האבטחה של יישומי רשת שמפרסם ארגון OWASP לשנת 2025, כשלים בשרשרת האספקה של תוכנה נמצאים במקום השלישי.
איך מאבטחים אתר וורדפרס?
אבטחת אתר וורדפרס נשענת על כמה הרגלים שמדריך ההקשחה הרשמי של המערכת ממליץ עליהם:
עדכונים קבועים
ליבת וורדפרס, תוספים ותבניות. עדכונים אוטומטיים קיימים בוורדפרס מגרסה 3.7, אבל תוסף שהמפתח שלו הפסיק לתחזק לא יקבל תיקון גם כשתתגלה בו חולשה.
מחיקה של מה שלא בשימוש
תוסף או תבנית מושבתים עדיין יושבים בשרת. המדריך הרשמי ממליץ למחוק תוסף שלא משתמשים בו, ולא רק להשבית אותו.
חשבונות ניהול
סיסמה חזקה, אימות דו שלבי ושם משתמש שאינו admin, כי את השם הזה מנסים ראשון.
עריכת קבצים מלוח הבקרה
כברירת מחדל מנהל יכול לערוך קבצי PHP של תוספים ותבניות מתוך לוח הבקרה, ומי שהשיג סיסמה יכול להריץ דרכם קוד. השורה DISALLOW_FILE_EDIT בקובץ wp-config.php סוגרת את האפשרות.
גיבוי שנשמר במקום אחר
גיבוי שיושב על אותו שרת עלול להיפגע יחד עם האתר. כדאי לשמור עותק מחוץ לשרת ולבדוק מדי פעם שאפשר לשחזר ממנו.
איך מונעים זיוף מיילים בשם הדומיין שלכם (SPF, DKIM ו-DMARC)?
מייל יכול להגיע עם כתובת שולח של הדומיין שלכם גם אם לא שלחתם אותו. כך נראות הרבה הודעות פישינג: חשבונית מזויפת, בקשה לעדכן פרטי חשבון בנק או קישור לתשלום. שלוש רשומות בהגדרות הדומיין (DNS) עוזרות לשרתי הדואר לזהות זיוף כזה:
הסדר חשוב: מתחילים ב-DMARC במצב none, קוראים את הדוחות כדי למצוא כל מערכת ששולחת בשמכם (ספק הדואר, מערכת הדיוור, מערכת החשבוניות), מוסיפים אותן ל-SPF ול-DKIM, ורק אז מחמירים. מעבר ישר ל-reject עלול לחסום גם מיילים אמיתיים. גם Gmail דורש את זה: מאז 1 בפברואר 2024 כל מי ששולח לחשבונות Gmail צריך SPF או DKIM, ומי ששולח יותר מ-5,000 הודעות ביום צריך את שלושתם.
SPF
רשימה של השרתים שמורשים לשלוח מייל בשם הדומיין.
DKIM
חתימה דיגיטלית על כל מייל יוצא, עם מפתח שמפורסם בדומיין. השרת המקבל בודק שהחתימה תקינה ושההודעה לא שונתה בדרך.
DMARC
ההוראה שלכם לשרת המקבל מה לעשות במייל שנכשל בבדיקות: none (רק לדווח), quarantine (להעביר לספאם) או reject (לדחות), וכתובת שאליה יישלחו דוחות.
איך נראית עבודת האבטחה, מהשיחה הראשונה ועד העדכונים השוטפים?
שיחת היכרות
מבינים על איזו מערכת האתר בנוי, איפה הוא מאוחסן ואילו מערכות שולחות מייל בשם הדומיין.
בדיקה מבחוץ
בדיקה פסיבית של האתר ושל הדומיין, בלי פרטי גישה ובלי ניסיונות פריצה. הממצאים המרכזיים נבדקים שוב באתר החי על ידי אדם.
בחירה ותוכנית
אתם בוחרים אם לתקן הכול או רק חלק מהפרקים, ומקבלים תוכנית כתובה לפני הביצוע. הגישה ניתנת למקומות שהתיקונים האלה צריכים: ניהול האתר, האחסון או ה-DNS.
תיקון ובדיקה חוזרת
כל שינוי נרשם עם הסיבה שלו ונבדק שוב באתר החי. באתר שנמצא אצלנו בניהול שוטף, עדכוני האבטחה הם חלק מהניהול.
מה מקבלים בסוף הבדיקה וההקשחה
- דוח ראשוני של ממצאי האבטחה
- דוח מעמיק עם צילומי מסך וקישורים
- לכל ממצא: רמת חומרה, העמודים שבהם הוא מופיע והתיקון המדויק
- רישום של כל שינוי שנעשה והסיבה שלו
למי בדיקת אבטחה והקשחה מתאימות
- אתרי וורדפרס עם הרבה תוספים, או כאלה שלא עודכנו זמן רב
- עסקים ששולחים ללקוחות חשבוניות ובקשות תשלום במייל
- אתרים עם טפסים שאוספים פרטים של לקוחות
- עסקים שהחליפו בונה אתר או ספק ולא יודעים מה הוגדר
שאלות נפוצות על אבטחת אתרים
האם הבדיקה שלכם היא בדיקת חדירות?
לא. הבדיקה שלנו פסיבית ונעשית מבחוץ: אנחנו בודקים את מה שהאתר והדומיין חושפים לכל מבקר, בלי פרטי גישה ובלי לנסות לפרוץ. בדיקת חדירות היא ניסיון יזום ומורשה לנצל חולשות, ועושים אותה מומחים ייעודיים. לעסק שמחזיק מידע רגיש, מערכות פנימיות או חובות רגולציה, הגנה מלאה עשויה לדרוש גם ספק אבטחת מידע ייעודי לצד העבודה שלנו.
צריך לתת לכם סיסמאות?
לבדיקה עצמה לא, היא נעשית מבחוץ. גישה נדרשת רק בשלב התיקונים, ורק לפרקים שבחרתם לתקן.
כמה עולה אבטחת אתר?
המחיר נקבע לפי היקף העבודה: הפלטפורמה ומספר התוספים, כמה ממצאים יש ובאילו פרקים תבחרו לטפל, וכמה מערכות שולחות מייל בשם הדומיין. לפני שמתחילים לתקן תקבלו תוכנית כתובה של מה ייעשה.
האם אבטחת האתר משפיעה על הקידום בגוגל?
כן, ולכן אבטחה היא גם חלק מקידום אתרים. גוגל הודיעה ב-2014 שהיא משתמשת ב-HTTPS כאות בדירוג, ואתר שגוגל מזהה בו תוכן פרוץ או תוכנה זדונית עלול להופיע בתוצאות עם תווית אזהרה, או להציג לגולש מסך אזהרה בדפדפן. את ההתראות האלה רואים בדוח בעיות האבטחה ב-Search Console.
מה אפשר לבדוק לבד, עוד היום?
שלושה דברים: הקלידו את הכתובת של האתר עם http:// ובדקו שהדפדפן עובר ל-https; פתחו את קוד המקור של דף הבית (Ctrl+U) וחפשו generator, כדי לראות אם גרסת המערכת חשופה; ובדקו בכלי בדיקת DNS אם יש לדומיין רשומת TXT בשם _dmarc. אם אחד מהם חסר, משם כדאי להתחיל.
שירותים שעובדים יחד עם אבטחת אתרים
רוצים לדעת מה האתר שלכם חושף היום?
השאירו פרטים ונחזור אליכם לשיחת היכרות קצרה, ונציע מאיפה כדאי להתחיל לבדוק את האתר שלכם.
מעדיפים לדבר עכשיו? התקשרו: 050-353-5534