Le preoccupazioni per la sicurezza sono incredibilmente comuni e hanno il potenziale per provocare enormi danni a un sito e alle sue prestazioni organiche a lungo termine
Esattamente perché la sicurezza informatica è importante per il SEO?
Se stai lavorando a stretto contatto con un sito web – per un'agenzia, indipendentemente o internamente – è probabile che tu abbia avuto a che fare con un problema di sicurezza ad un certo punto. Anche se variano nel livello di minaccia, i problemi di sicurezza sono incredibilmente comuni e hanno il potenziale di provocare enormi danni a un sito e le sue prestazioni organiche a lungo termine.
Nonostante la minaccia onnipresente, sembra che i marketer digitali sentano raramente la necessità di scavare troppo in profondità nello spazio di sicurezza. Molti credono che semplicemente non sia nelle loro competenze o no il loro problema.
Poiché le strategie per la SEO e gli attacchi informatici si sono evoluti fianco a fianco, è diventato chiaro che la sicurezza è qualcosa a cui i marketer digitali devono prestare attenzione. Un consulente SEO efficace deve essere abbastanza esperto per informare i propri clienti sulle migliori pratiche.
Scarica la nostra risorsa premium – Una guida per lo sviluppo di competenze digitali nella tua agenzia
Se la tua agenzia ha una lacuna di competenze, questa è sia una minaccia che un'opportunità per la tua agenzia. Una minaccia se non la affronta ma un'opportunità se metti insieme un piano di sviluppo delle competenze per l'agenzia e superi la concorrenza.
Accedi alla guida di A per sviluppare le competenze digitali nella tua agenzia
In che modo la sicurezza influenzerà le mie classifiche?
La ricerca mostra che la maggior parte dei siti Web sperimenterà un media di 58 attacchi al giorno. Fino al 61% di tutto il traffico Internet è automatizzato, il che significa che questi attacchi non discriminano in base alla dimensione o alla popolarità del sito web in questione. Nessun sito è troppo piccolo o troppo insignificante per attaccare.
A parte la perdita finanziaria diretta, un sito Web compromesso può comportare conseguenze drammatiche sul traffico, SERP distorte e una gamma di sanzioni manuali da Google. Per non parlare delle altre ripercussioni; informazioni rubate, database compromessi e potenzialmente deindicizzazione.
È facile crescere compiacenti e affidarsi a Google per segnalare il tuo sito in caso di problemi. La verità è che i motori di ricerca stanno segnalando solo una frazione del numero totale di siti Web infetti da malware. Nei restanti casi, l'operatore continua la sua attività come al solito mentre gli aggressori sfruttano una vulnerabilità aperta.
Questo non solo aumenterà la gravità delle sanzioni eventualmente imposte, modifiche graduali al contenuto del tuo sito, pertinenza e architettura influenzeranno le tue classifiche nel frattempo. La lezione fondamentale è questa: non fare affidamento su Google per rilevare costantemente il malware.
In altri casi, Google potrebbe interpretare erroneamente l'attività da un sito compromesso come un tentativo deliberato di occultamento. Ciò può accadere sul dominio esistente di un cliente o anche su un dominio precedente che reindirizza 301 al sito corrente. Entrambi comporteranno penalizzazioni manuali.
Questo è particolarmente allarmante considerando che il 9%, o tanti quanti 1,7 milioni di siti web, ha una vulnerabilità maggiore che potrebbe consentire l'implementazione di malware. Se si è investiti nella visibilità della ricerca a lungo termine, operando in un mercato altamente competitivo o fortemente dipendenti dal traffico organico, la vigilanza nella prevenzione degli attacchi è fondamentale.
È chiaro che ogni SEO efficace dovrebbe assumersi una certa responsabilità per la sicurezza del sito. Se un cliente ha gli strumenti, le risorse e le strategie appropriati, ottimo. Ma questo spesso non è il caso; pochissimi ritengono che la sicurezza del sito Web sia una preoccupazione urgente che merita attenzione immediata. Allo stesso modo, nonostante il suo impatto diretto sulle loro prestazioni, i marketer digitali spesso lo vedono come un problema remoto al di fuori delle loro specifiche di lavoro.
La sicurezza informatica è un problema complesso e sfaccettato; può essere difficile sapere da dove cominciare. In questo articolo, tratteremo alcune semplici strategie per l'esecuzione di controlli di sicurezza Web di base con le prestazioni di ricerca in mente, oltre a varie risorse che possono aiutarti a migliorare il tuo skillset e fare i conti con le basi della sicurezza del sito.
Fasi di un attacco
Al fine di identificare e rispondere agli attacchi, per prima cosa abbiamo bisogno di una comprensione di base di come operano. Tieni presente che questo presuppone che l'attacco sia mirato piuttosto che il risultato di scansioni indiscriminate. Un tipico tentativo di compromesso avrà cinque fasi:
- Ricognizione. L'autore dell'attacco raccoglie quante più informazioni possibili sul sito web. Questo include il software su cui il tuo sito gira, plugin, estensioni, ecc.
- lettura. Il sito Web viene scansionato nel tentativo di identificare potenziali vulnerabilità.
- Forzare l'entrata. Approfittando di una data debolezza, l'attaccante ottiene l'accesso al back-end del sito.
- Assicurare l'entrata. Una volta entrati, qualsiasi attaccante intelligente garantirà un punto di accesso backdoor disponibile per l'accesso futuro. Questo può essere spesso sfruttato anche dopo che un sito è stato "riparato".
- Attività di mascheramento L'attaccante tenterà di coprire le proprie tracce per assicurarsi che la loro presenza rimanga nascosta il più a lungo possibile.
Quando cerchi di proteggere il tuo sito, puoi identificare le vulnerabilità utilizzando gli stessi metodi di un attore malintenzionato.
Il modo più semplice per evitare un compromesso è rendere difficili le fasi preliminari; offrire poche informazioni sul tuo sito e sulla sua infrastruttura il più possibile, così quelli con cattive intenzioni hanno molto più difficile identificare i punti di accesso. Questo scoraggerà la maggior parte dei tentativi mirati e renderà gli attacchi automatizzati molto più difficili.
Varietà di server e CMS
La maggior parte degli aggressori inizierà la ricognizione identificando il software su cui è eseguito il sito. Un software popolare viene sistematicamente aggiornato per coprire nuove vulnerabilità, quindi se il tuo sito funziona su una versione obsoleta di una determinata piattaforma, è molto più facile comprometterti.
Questa è anche probabilmente la più semplice informazione da scoprire. Ci sono molti modi per farlo; scanner online come BuiltWith o WhatWeb vi diranno esattamente quale software e quale versione è in grado di dare un determinato dominio.
Una volta che lo sai, dovresti scoprire qual è l'ultima versione del pacchetto software. Se stai usando la versione più recente, va bene. Se stai utilizzando una versione obsoleta, è opportuno verificare se sono state rilevate vulnerabilità rilevanti nello spazio tra la versione corrente e l'ultima versione.
Exploit WordPress
Come il CMS più comunemente usato sul web, WordPress viene regolarmente preso di mira dagli aggressori. È fondamentale che tu sappia come eseguire i controlli di sicurezza di base sui siti che dipendono dalla piattaforma e che sei in grado di consigliare i clienti sulle migliori pratiche di sicurezza di WordPress in generale. Se non lo fai, il loro sito – e il loro SEO – è vulnerabile nel lungo periodo.
La stragrande maggioranza degli attacchi di base di WordPress è dovuta alla scarsa sicurezza di accesso. Se utilizzi nomi utente standard, oppure il nome utente dell'amministratore è ancora "admin", stai correndo un rischio.
Vale anche la pena di cambiare l'URL di accesso del tuo sito. L'URL standard ('wp-login.php') sarà l'URL predefinito utilizzato dagli scanner di vulnerabilità automatici.
Nel complesso, il modo migliore per iniziare ad avvicinarsi alla sicurezza di WordPress è utilizzare un plug-in di sicurezza che, se tenuto aggiornato, aiuterà a monitorare e proteggere il tuo sito. Questi strumenti hanno una gamma di funzionalità progettate per ottimizzare la sicurezza del tuo sito. Passa attraverso le impostazioni per assicurarti che il tuo sito web abbia almeno le funzionalità di base attivate.
Esempi popolari includono Tutto in uno e Sicurezza Sucuri, che monitora e ricerca potenziali eventi di hacking e dispone di funzionalità firewall che bloccano i visitatori sospetti su base permanente.
In definitiva, è importante esaminare, ricercare e aggiornare ogni plug-in e script che usi. È meglio investire il tempo per mantenere aggiornati i plug-in che renderti un obiettivo facile.
Cartella di login
Anche se il tuo sito non si basa su WordPress, ciò non significa che non verrà preso di mira. Una piattaforma personalizzata o proprietaria può comunque essere vittima di un attacco se non si seguono i protocolli di sicurezza di base.
Ad esempio, è abbastanza semplice per qualcuno trovare l'URL di accesso del tuo sito Web, che funge da bersaglio perfetto per qualsiasi aggressore.
Molti siti Web bloccano apertamente la cartella di accesso back-end nel loro file robots.txt. Questo potrebbe apparire come il seguente:
Dato che questo è un file disponibile pubblicamente, questo equivale a trasmettere il tuo URL di accesso a chiunque cerchi di entrare forzatamente nel tuo sito web.
Anche se questo è coperto, un'altra semplice ricerca su Google può spesso fornire a un hacker queste informazioni:
Un "sito:" ricerca di URL con "login" o "admin" al loro interno può facilmente aprire una pagina di accesso che è stata indicizzata. Assicurati che il tuo file robots.txt non lo comunichi e utilizzi i meta tag "noindex" nelle pagine di accesso per evitare che vengano indicizzati accidentalmente.
Hosting condiviso
Piccoli siti web esistono spesso su server di hosting condiviso. In questo caso, la sicurezza del tuo sito è valida solo come il sito Web meno sicuro sul server. Se un utente malintenzionato ne compromette uno, è più probabile che acceda all'intero server e a tutti i suoi siti.
Se non sei sicuro, strumenti semplici come SpyOnWeb possono aiutarti a scoprire se un determinato sito è ospitato su un server condiviso. Inserisci il dominio del sito web e otterrai una rapida panoramica di tutti gli altri domini associati allo stesso indirizzo IP. Se questi non condividono tutti lo stesso proprietario, il sito Web fa parte di un server di hosting condiviso.
L'hosting condiviso equivale sostanzialmente a mettere la sicurezza del tuo sito web nelle mani del webmaster meno capace sul server.
In genere, l'hosting dedicato è la strada da percorrere. A seconda della vulnerabilità e del volume di dati sensibili sul tuo sito, è consigliabile migrare a un server dedicato nel più breve tempo possibile.
Google hacking
In molti casi, trovare informazioni esposte su un sito è facile come digitare la query su Google. Con alcune semplici ricerche, puoi trovare molte cose interessanti; file di registro, file di configurazione, documenti PDF indicizzati, messaggi di errore SQL (che indicano potenziali vulnerabilità) e molto altro.
Siti web come PenTest-Tools offrono assistenza per contrastare questa forma di ricognizione. Una volta inserito il nome del dominio, lo strumento lo accoppierà con query quali "elenco di directory vulnerabilità", "errori SQL", "file di registro esposti" e molti altri.
Se riesci a trovare informazioni sul tuo sito da queste query, anche gli aggressori possono farlo. Sottoponi il tuo sito a ciascuna di queste ricerche e lavora per rimuovere la fonte di qualsiasi informazione che sia prontamente disponibile.
Oltre a "google hacking", sono disponibili online numerosi strumenti che è possibile utilizzare per raccogliere determinati tipi di informazioni, tra cui le porte TCP aperte di un dominio, i sottodomini attivi, le vulnerabilità SSL e altro ancora. Vale la pena fare la tua ricerca qui; tu e il tuo cliente dovreste sapere esattamente quali informazioni sono esposte e che potrebbero essere utilizzate per informare la strategia di un attaccante.
Aggiornamenti SSL
HTTPS è importante, ma non significa necessariamente che tu abbia un sito Web sicuro. È facile dimenticare che non tutti i certificati SSL sono uguali.
Negli ultimi anni, ci sono state varie paure nei confronti delle debolezze in SSL, in particolare gli attacchi DROWN e Heartbleed. In generale, vale la pena investire in un certificato di alta qualità completamente aggiornato e privo di suscettibilità. Se non sei sicuro, puoi utilizzare lo strumento Labs SSL per verificare la qualità del certificato su un determinato sito.
È consigliabile testare regolarmente il certificato per rimanere in linea con le vulnerabilità più recenti.
Software di scansione
Ciò che è stato trattato fino ad ora farà abbastanza per mantenere la sicurezza web di base e scoraggiare i dilettanti o gli strumenti automatici. Se sei preso di mira da un attaccante dedicato, potresti non andare così bene; potrebbe esserci un'intera serie di ulteriori vulnerabilità sepolte nel tuo sito.
Strumenti come Nikto Web Scanner sono gratuiti, facilmente disponibili e metteranno alla prova il tuo sito contro migliaia di problemi noti. Questo è uno strumento di prompt dei comandi che puoi scaricare ed eseguire autonomamente; funzionerà sulla maggior parte dei PC anche se è più comunemente usato su Linux. Se non ti senti a tuo agio nell'esecuzione autonoma del software, ci sono molti strumenti disponibili online che eseguiranno la scansione per te.
La linea di fondo
Questo articolo illustra alcuni passaggi preliminari che è possibile utilizzare per trovare problemi di sicurezza comuni in un sito Web. La sicurezza informatica olistica è un campo molto più vasto composto da più specialità, di cui la sicurezza dei siti Web è solo una piccola area.
Il SEO è – e lo è sempre stato – sull'adozione del cambiamento. Se vuoi offrire il miglior servizio possibile e migliorare i tuoi risultati a lungo termine, devi imparare ad adattarti ai requisiti del cambiamento sul campo.
I problemi di sicurezza non stanno andando via in qualunque momento presto. Dato il loro impatto sull'esperienza utente complessiva, è probabile che il loro impatto sulla SEO sia destinato a crescere. Investi subito nella tua formazione e, a lungo andare, pagherà indubbiamente, per te e per i tuoi clienti.
