Como melhorar a segurança de sites e lojas virtuais

No artigo de hoje, o assunto é segurança na Web. Para falarmos sobre o tema, é preciso primeiro entender o que é a vulnerabilidade online. Trata-se da suscetibilidade de um website, sistema ou rede de computadores a ataques cibernéticos e ameaças digitais. 

Muitas vezes, ações maliciosas na Internet ocorrem, de forma mais fácil, devido a falhas no projeto ou na implementação de um software, sistemas operacionais, protocolos de rede, aplicativos ou hardware. Contudo, existem outros motivos que deixam “caminhos” para pessoas e programas mal intencionados agirem.

A falta de atualizações de segurança, o uso de senhas fracas, a instalação de software malicioso (sem a intenção) e a exploração de fragilidades conhecidas caracterizam portas abertas para ataques cibernéticos. Além disso, tudo no mundo virtual é muito dinâmico – da mesma forma que a tecnologia é desenvolvida para gerar mais proteção, há um crescente número de ameaças e constante evolução de técnicas de ataque.

Os criminosos cibernéticos exploram essas e outras vulnerabilidades para obter acesso não autorizado a sistemas, roubar informações, instalar software malicioso, comprometer a integridade ou disponibilidade de dados e serviços e, ainda, realizar outras atividades ilegais como o sequestro de dados e solicitar resgate em dinheiro ou outro tipo de benefício.

A realidade

É importante tomar medidas proativas para prevenir, identificar e corrigir vulnerabilidades online e, assim, garantir a segurança e a privacidade dos dados. Não existe site completamente seguro na Web porque, como já comentamos, a segurança cibernética é um campo em constante evolução, mudanças e novas ameaças são criadas diariamente.

Mesmo que um site tenha sido projetado e implementado com as melhores práticas de segurança disponíveis atualmente, ainda podem existir vulnerabilidades desconhecidas capazes de serem exploradas por hackers, malwares ou outros tipos de ameaças.

Outro fator que contribui demais para a fragilidade da segurança na Internet são os erros e negligências humanas.

O que fazer para aumentar a segurança do site

Para facilitar o acesso à segurança na Internet, relacionamos algumas medidas que você pode tomar para aumentar a segurança do seu website:

• Utilize um certificado SSL (Secure Sockets Layer)/TSL (Transport Layer Security) – Estes são certificados digitais que autenticam a identidade de um site e possibilitam uma conexão criptografada. Um protocolo de segurança que cria um link criptografado entre um servidor web e um navegador web. A utilização do SSL/TSL criptografa a comunicação entre o usuário e o servidor, garantindo que as informações não possam ser interceptadas por terceiros.
  
• Proteja seu site com HTTPS (Hyper Text Transfer Protocol Security) – O HTTPS é uma extensão segura do HTTP usada para criptografar a comunicação entre o site e os visitantes. Isso é especialmente importante se o seu site envolver o envio ou recebimento de informações aprovadas, como informações de login, detalhes de pagamento ou informações pessoais. Os sites que configurarem um certificado SSL/TLS podem utilizar o protocolo HTTPS para estabelecer uma comunicação segura com o servidor.
  
• Mantenha o software atualizado – Isso inclui não apenas o seu sistema operacional do seu PC, mas também qualquer software de servidor ou aplicativo de terceiros que você esteja utilizando. Certifique-se de que seu site esteja usando a versão mais recente do software de gerenciamento de conteúdo, aplicativos, plugins e extensões, pois as atualizações geralmente contêm correções de segurança. Se você usa o WordPress, as atualizações são informadas no Painel Administrativo Você pode atualizar o próprio WordPress, os plugins e os temas.
  
• Utilize senhas fortes e guarde-as muito bem – Utilize senhas complexas e únicas para cada conta de usuário do site. Não reutilize senhas em sites diferentes e considere recorrer a um gerenciador de senhas para ajudar a gerar e administrar as senhas com segurança. Evite salvar senhas em seu computador.
  
• Faça backup regularmente dos arquivos do site e do banco de dados – Isso ajuda a garantir que, caso ocorra um problema, você consiga restaurar rapidamente o site para um ponto anterior.
• Use ferramentas de segurança – Considere o uso de ferramentas de segurança como firewalls, softwares antivírus e sistemas de detecção de invasões. Isso ajuda a identificar e prevenir possíveis ameaças de segurança.
  
• Permissões de arquivos e pastas – As permissões de arquivos e pastas são muito importantes, pois definem para o sistema quem poderá acessá-las. É sempre bom compreender que uma pasta ou um arquivo com permissão total causa problemas de segurança graves dentro de um site. É sempre bom manter a permissão padrão de leitura e execução de arquivos e pastas do servidor, e modificá-las apenas caso precise de acesso externo de algum arquivo em específico, evitando acesso total e mantendo restrições.
• Plugins – Evite os plugins de procedência duvidosa. Se você usa o WP, dê preferência a plugins que estejam disponíveis no diretório central de plugins do WordPress ou de produtoras idôneas. Se o plugin não estiver bem avaliado no diretório central de plugins, pense se vale a pena usá-lo.

Se você não está usando determinado plugin ou ele não tem atualização, desabilite-o e apague-o. Plugins com vulnerabilidades são uma porta aberta para que invasores entrem em sites.Vale lembrar também que a utilização de plugins que não estejam disponibilizados na biblioteca de plugins do próprio WordPress pode significar vulnerabilidades e inseguranças – os plugins disponibilizados pela biblioteca do WP são revisados e têm sua integridade garantida!

• Temas e templates – Aqui valem as mesmas dicas do item acima. Evite temas e templates de procedência duvidosa. Prefira usar temas disponíveis no diretório central de temas do WordPress ou de produtoras confiáveis. Se o tema não estiver bem avaliado, avalie se vale a pena usá-lo.
• Painel Administrativo – Limite o acesso ao Painel Administrativo. Pode-se instalar um plugin que renomeie o nome da página de login do WordPress. Dessa forma, programas que tentam o acesso por força bruta não irão encontrar a página. Para ter mais segurança, evite usar o usuário admin. Existem plugins para renomear o nome do usuário administrador. Dessa forma, é possível diminuir as tentativas de ataque. Crie outros usuários com nível de administrador e não use o admin padrão do WP.
• Eduque a si próprio e a sua equipe – conheça tudo o que estiver ao seu alcance sobre as melhores práticas de segurança na Web. Isso inclui aprender sobre as ameaças de segurança mais recentes, como phishing e ataques de malware, e como evitá-los.

Lembre-se, a segurança cibernética é uma responsabilidade compartilhada entre você, seus usuários e seus fornecedores de serviços de hospedagem. Fique atento e adote boas práticas de segurança para manter seu site seguro.

O que mais pode ser feito para intensificar a proteção?

Além de todas as recomendações sugeridas, nós da Hostnet, optamos pela utilização do WordPress (WP) como plataforma em websites. O WP enquanto sistema de gerenciamento de conteúdo oferece maior segurança por ter o código-fonte aberto. Dessa forma, ele tem menos chances de conter falhas de segurança ou backdoors (recurso usado por alguns desenvolvedores em seus programas, de forma que eles possam ter acesso remoto ao seu sistema). O golpe: é sabido que várias empresas, que usam software de código fechado, capturam informações do computador dos clientes e remetem-na para seus servidores, com propósitos diversos. Uma backdoor colocada em um software livre (SL) será rapidamente localizada e removida, graças à gigantesca comunidade de programadores adepta ao SL que mantém o software atualizado e com falhas corrigidas, portanto mais seguro.

1. O WordPress, por ser o CMS mais usado do mundo, é também o mais visado em termos de segurança. Contudo, por ser um software livre, todos têm acesso ao código-fonte e qualquer pessoa pode olhar e realizar correções de falhas. Assim sendo, caso ocorra um problema dessa natureza, vários desenvolvedores estarão investigando o código-fonte em busca da solução e rapidamente ela será compartilhada. Outra vantagem do WordPress é que ele tem a sua disposição uma quantidade imensa de plugins – plugin ou módulo de extensão é um programa de computador usado para adicionar funções a outros programas maiores, provendo alguma funcionalidade especial ou muito específica. Tais recursos oferecem otimização para sites de busca (SEO), soluções para sites de comércio eletrônico, muitas opções em galerias de fotos, e, sem dúvida, melhorias na parte de segurança, além de outras capacidades.

Outras vantagens de segurança para o cliente Hostnet 

A segurança também depende muito do investimento feito pelo provedor de hospedagem nessa área. A Hostnet, em particular, tem várias iniciativas para aumentar e garantir a segurança dos seus clientes. Podemos listar algumas abaixo:

• A Hostnet é o primeiro provedor de hospedagem no Brasil a oferecer DNSSEC (desde 2012);
• A Hostnet é o primeiro provedor de hospedagem no Brasil a oferecer serviços de CDN gratuitamente, em parceria com a empresa CloudFlare;
• Temos Certificados SSL para nossos clientes, desde o gratuito (fornecido pela CloudFlare), passando pelos certificados próprios e o wildcard;
• Usamos Protocolo TLS implementado nos servidores de e-mail, que adiciona criptografia no tráfego de e-mails;
• Usamos tecnologia DMARC (Domain-Based Message Authentication Message Conformance) nos servidores de e-mail da Hostnet. Ela padroniza a forma com que os e-mails são verificados, protegendo a caixa de entrada dos usuários.

Curso sobre segurança online 

Quer saber sobre a proteção do seu site e estar mais seguro em suas atividades online? Faça o Curso grátis de Segurança da Informação.

O Curso em Vídeo oferece, de forma gratuita, o “Curso de Segurança da Informação”, no qual você terá acesso aos fundamentos básicos para uma vida mais segura no mundo digital. Nosso objetivo é esclarecer as principais dúvidas da área e reduzir a vulnerabilidade na Internet. 

Para isso, os professores Alfredo Júnior e Gustavo Guanabara criaram um conjunto de videoaulas que analisam o conteúdo da cartilha de segurança do CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil). 

Conteúdo

Dentre os assuntos abordados, merecem destaque: backup, boatos (hoax), códigos maliciosos, comércio eletrônico, computadores, dispositivos móveis, internet banking, privacidade, proteção de dados, redes, redes sociais, senhas, vazamento de dados e verificação em duas etapas.

Os módulos estão disponíveis no site do Curso em Vídeo e no canal do YouTube de forma totalmente gratuita. Quem desejar se adiantar, pode optar por assinar o Estudonauta – uma plataforma de ensino a distância, também com a assinatura do professor Guanabara, onde o aluno pode se aprofundar em determinados cursos, além dos primeiros passos, com o diferencial de poder tirar dúvidas com equipe de tutoria e ter um certificado. Tudo isso por um preço acessível!

Público-alvo

O curso foi desenvolvido para pessoas leigas. Contudo, alunos avançados e profissionais que não são especializados em segurança tirarão proveito dos ensinamentos que apresentam, em muitos tópicos, correlação com casos de golpes cibernéticos (recentes e antigos) veiculados na mídia.

Se o conteúdo foi útil pra você, continue acompanhando o nosso blog e até a próxima!

Links Relacionados: assuntos que podem ser do seu interesse

Hospedagem de Sites não é tudo igual 

Hospedagem de Sites Hostnet – Combo Cloud

Criação de Sites – a Hostnet faz para você 

Criação de Loja Virtua – A Hostnet faz para você 

Conheça o datacenter da Hostnet