Stran o varnosti, ki ničesar ne nalaga.

Protislovje, ki ga opazi skoraj vsak

Stran, ki svetuje o ribarjenju, geslih in analizah tveganj, v ozadju nalaga pisave od koncerna, vgrajuje števec in dodatno nalaga skript, ki ga nihče ni prebral. Obiskovalec od tega ne opazi nič. Kdor pa pogleda v razvijalska orodja — in v tej ciljni skupini to prej ali slej kdo stori —, vidi dober ducat zahtev na naslove, ki s ponudnikom nimajo nič skupnega.

To ni varnostni incident. Je nekaj hujšega: težava z verodostojnostjo.

Kaj smo naredili namesto tega

Nova stran ne pošlje niti ene zahteve navzven. Pisava leži na našem strežniku, ni analitičnega skripta, ni vgrajenega zemljevida, ni videa s platforme in ni pasice za privolitev — ker ni ničesar, s čimer bi se bilo treba strinjati.

To ni umetnost, temveč odločitev. Pri gradnji stane približno pol dneva: pisave gostiti sami, odpovedati se priročnemu vgrajenemu zemljevidu, merjenje bodisi upravljati v lastni hiši bodisi opustiti.

Kaj je zato odpadlo

Prej je tam tekel WordPress s kupljenim dizajnom in razširitvijo v slogu gradnika. Od tega je ostalo malo: tri strani s pravo vsebino, poleg tega štirje blogovski prispevki iz slepega besedila — demo vsebine, ki so bile dobavljene ob namestitvi in nikoli izbrisane. Leta so bile na spletu.

Prevzeli smo, kar je bilo vsebina. Ostalo s preusmeritvijo kaže na začetno stran, da noben naslov ne vodi v prazno.

Kaj prehod pomeni v praksi

Brez prijavnega območja. Ni ničesar, kamor bi se kdo lahko prijavil, torej tudi ničesar za prevzem.

Brez razširitev. Vsaka razširitev je tuja koda z lastnimi varnostnimi luknjami in lastno potrebo po posodabljanju. Štiri zadoščajo, da nihče več nima pregleda.

Brez podatkovne baze. Kar ne teče, ne more izpasti in ga ni mogoče prebrati.

Brez posodobitev pod časovnim pritiskom. Najpogostejši razlog za ugrabljene spletne strani je zastarela razširitev, ne prefinjen napad.

Ostane končan HTML na strežniku v Avstriji. Kontaktni obrazec je edino premično mesto in počne natanko eno stvar.

Za koga je to pravi način gradnje

Ne za vsakogar. Kdor dnevno piše prispevke, potrebuje uredniški sistem — in naj ga dobi. Za predstavitve, ki jih sestavlja peščica strani in se spremenijo enkrat na četrtletje, pa je pot prek uredniškega sistema trajna obveznost brez protivrednosti.

Pri ponudniku varnosti pride zraven še to, da je lastna stran prvi delovni primer. Težko je govoriti o napadalnih površinah in eno sam pustiti odprto.

Preveri lahko vsak

Odprite 1security.at, pritisnite F12 in si oglejte zavihek „Omrežje". Tam ni ničesar, kar ne bi prišlo z 1security.at. Naredite isti preizkus na svoji strani — rezultat je večinoma vreden pogovora.