← Visi straipsniai · ScanMend · English

Kaip patikrinti svetainės saugumą: 10 dalykų, kuriuos galite patikrinti patys

2026 m. spalio 22 d.

Mažų įmonių svetainės dažnai nulaužiamos ne dėl sudėtingų atakų, o dėl paprastų, seniai žinomų spragų: pasenusio įskiepio, pamiršto atsarginės kopijos failo ar neteisingai nustatyto el. pašto domeno. Dalį jų galite patikrinti patys naršyklėje, kitoms reikės prieigos prie hostingo ar DNS nustatymų.

1. Ar svetainė visada atsidaro per HTTPS

Naršyklėje įveskite adresą su http:// (be „s“). Jei svetainė automatiškai nepersijungia į https://, lankytojai gali likti nešifruotame ryšyje. Daugumoje hostingų tai įjungiama vienu nustatymu: Hostinger hPanel – Security → SSL → Force HTTPS, cPanel – Domains → Force HTTPS Redirect, Cloudflare – SSL/TLS → Edge Certificates → Always Use HTTPS.

2. Ar SSL sertifikatas atsinaujina automatiškai

Paspauskite spynelę šalia adreso ir pažiūrėkite galiojimo datą. Nemokami „Let's Encrypt“ sertifikatai galioja 90 dienų ar trumpiau, todėl jie turi atsinaujinti automatiškai. Jei data artėja, o atnaujinimas neįvyko, kreipkitės į hostingą.

3. Ar atnaujintos TVS, įskiepiai ir tema

Jei naudojate WordPress, atidarykite Valdymo skydas → Atnaujinimai. Kiekvienas neatnaujintas įskiepis – potenciali spraga. Įskiepius, kurių nebenaudojate, ištrinkite, o ne tik išjunkite.

4. Kokia PHP versija

Seną PHP versiją dažnai pamiršta net programuotojai. Ją rasite hostingo skydelyje arba WordPress Įrankiai → Svetainės sveikata. Pagal php.net, PHP 8.2 saugumo pataisos baigiasi 2026-12-31, 8.3 – 2027-12-31, 8.4 – 2028-12-31. Senesnės versijos pataisų nebegauna visai.

5. Ar nėra viešai pasiekiamų failų, kurių neturėtų būti

Atsarginės kopijos (backup.zip, .sql), konfigūracijos failai (.env, wp-config.php.bak) ar phpinfo.php kartais lieka svetainės kataloge po perkėlimo ar derinimo. Peržiūrėkite hostingo File Manager aplanką public_html ir ištrinkite tai, kas nereikalinga. Atsargines kopijas laikykite už svetainės katalogo ribų.

6. Saugos antraštės

Tai kelios eilutės serverio atsakyme, kurios naršyklei nurodo, pavyzdžiui, visada naudoti HTTPS (Strict-Transport-Security) ar neleisti įterpti svetainės į svetimą puslapį (X-Frame-Options). Jas galima pridėti per .htaccess, Cloudflare arba WordPress įskiepiu „Headers Security Advanced & HSTS WP“.

7. Ar niekas negali siųsti laiškų jūsų vardu

Tam skirti trys DNS įrašai: SPF, DKIM ir DMARC. Be jų sukčiai gali siųsti laiškus, atrodančius kaip jūsų įmonės. Plačiau – straipsnyje SPF, DKIM ir DMARC: kaip apsaugoti įmonės domeną.

8. Ar slapukų sutikimas veikia iš tiesų

Atidarykite svetainę naršyklės privačiame lange ir, nieko nepaspaudę slapukų juostoje, pažiūrėkite Developer tools → Application → Cookies. Jei jau yra Google Analytics (_ga) ar Meta (_fbp) slapukų, sekimas pradedamas prieš sutikimą.

9. Ar administratoriaus paskyros apsaugotos

Naudokite stiprius, unikalius slaptažodžius ir dviejų veiksnių autentifikaciją. Pašalinkite senų darbuotojų ir rangovų paskyras. Neprisijunkite prie administravimo su vardu „admin“.

10. Ar turite atsarginę kopiją, kurią tikrai galite atkurti

Kopija naudinga tik tada, jei iš jos tikrai pavyksta atkurti svetainę. Bent kartą per metus pabandykite atkurti svetainę iš kopijos (pvz. į testinį subdomeną).