Tips voor een veiligere website

Home / Home / Blog / Tips voor een veiligere website

Krijg je een beetje een ongemakkelijk gevoel als de media weer berichten over het hacken van sites? Cross-site scripting, SQL injection, password fraud .... Hoe veilig is jouw site? Je kunt daar zelf een goed beeld van krijgen met een paar testen die je zelf kunt uitvoeren.

Veilige formuliervelden

Vul de code  eens in je zoekveld of contactformulier in en kijk dan wat er gebeurd. Krijg je een javascript melding “niet veilig”, dan vertelt dit iets over de veiligheid van jouw formulier.

Veilige urls

Kijk eens naar het url van jouw site. Staat daar iets dat lijk op www.jouwsite.nl/index.php?id=123 of www.jouwsite.nl/index.php?q=contact? Kijk dan eens naar het onderdeel na het vraagteken. Dit zijn variabelen die aan de site worden doorgegeven. In de voorbeelden zijn “id” en “q” de variabelen. “123” en “contact” zijn de waarden die erbij horen. Wat gebeurd er als je deze waarden veranderd in een asterisk (*), procenteken of zomaar iets willekeurigs? Geeft de website een foutmelding of keer je terug naar een standaard pagina dan is er niets aan de hand. Gebeuren er vreemde zaken? Dan wordt de invoer van de variabelen waarschijnlijk niet goed gecontroleerd. Je kunt eindeloos veel testen verzinnen die varieren op dit thema. Vul bijvoorbeeld ook maar eens het script uit het vorige punt in.

Oud materiaal

Ga na of de vorige versie van je cms of website nog op de webserver staat. Leuk vanuit nostalgisch oogpunt maar ook heel prettig voor ongewenste bezoekers. Je site en content management systeem (cms) zijn niet voor niets vervangen. Probeer zo min mogelijk code op server te hebben staan.

Versiebeheer

Controleer hoe up-to-date de versie van je site en cms is. De leverancier van je site kan je dit vertellen of als je gebruik maakt van een open source oplossing dan is de versie vaak vermeld in het cms. Gebruik je een “oudere” versie, vraag dan na waarom er een nieuwere versie is (informeer dan in dit geval met name naar veiligheidsverbeteringen). Is er sprake van een nieuwe versie met verbeterde beveiliging overweeg dan een update.

Spam via jouw site

Ga voor jezelf na of er creatief gebruik gemaakt wordt van bijvoorbeeld contact of reactieformulieren op je site. Ontvang je regelmatig spam via het contactformulier op jouw site of verschijnen er vreemde reacties op jouw site? Dan kan de beveiliging van deze reactieformulieren verbeterd worden. Dit is strict genomen geen hacking maar het misbruiken van formulieren voor spam is wel heel vervelend voor jezelf en eventuele andere ontvangers en het belast je website onnodig.

Preventief onderhoud

Word je cms “onderhouden”? Dat wil zeggen, controleert je website leverancier regelmatig of alles nog goed functioneert, up-to-date is (zie het vorige punt) en of er geen ongewenst gebruik is gemaakt van je cms of site? Misschien komt dit een beetje overdreven over, maar vraag je het volgende eens af. Rijd jij in een auto waar je helemaal nooit onderhoud aan laat plegen?

Bestanden uploaden via het cms?

Controleer eens welke bestanden je kunt uploaden. Veel content management systemen en websites zijn voorzien van de mogelijkheid om bestanden te uploaden. Meestal zijn dat onschuldige afbeeldingen en documenten. Probeer eens uit of daadwerkelijk wordt gecontroleerd wat je kunt uploaden. Een .txt, .exe of .html bestand moet je in de meeste gevallen niet mogen uploaden. Lukt dat niet? Mooi! Controleer tenslotte of je de extensie (gedeelte van de bestandsnaam achter de punt) kunt veranderen. Als je een plaatje (met bijvoorbeeld de extensie .jpg) kunt uploaden en je mag daarvan de naam achteraf weer veranderen dan is dit net zo kwalijk.

bewust omgaan met toegang tot je cms

Hoe veilig ga je zelf om met de toegang van je CMS. Wie kennen je wachtwoord, hoe makkelijk is deze te raden en hoe oud is hij? Veel mensen gebruiken voor allerlei toepassingen hetzelfde wachtwoord voor lange tijd achter elkaar. Makkelijk maar niet erg veilig. Controleer ook gelijk of alle mensen die toegang hebben tot het cms nog wel geautoriseerd zijn. Heeft je website leverancier een eigen account voor jouw cms of staat het standaard wachtwoord voor de beheerder er nog in? Dan loop je extra risico als je leverancier slachtoffer wordt van een aanval of als hackers toegang proberen te krijgen met behulp van standaard wachtwoorden. Wis overbodige accounts!

Heb je zelf een goede test of een tip? Ik hoor het graag van je. Stuur me een bericht. Of plaats een reactie.

Auteur: Pieter van Andel

Reageer op dit artikel! "Tips voor een veiligere website"

Reageer op dit artikel!