अपनी वेबसाइट को हैकर से कैसे बचाएँ

वेबसाइट को हैकर से बचाने की सलाह अक्सर एक लंबी चेकलिस्ट की तरह दी जाती है। समस्या यह है कि उस लिस्ट की हर चीज़ का वज़न बराबर नहीं होता। कुछ गिने-चुने उपाय उन ज़्यादातर हमले के रास्तों को रोकते हैं जो असली सेंधमारी तक पहुँचते हैं, और यह जानना कि किन्हें पहले करें, असरदार सुरक्षा और सिर्फ़ सुरक्षा के दिखावे के बीच का फ़र्क़ बनाता है।

वेबसाइट पर हमले लगभग पूरी तरह ऑटोमैटिक होते हैं। स्कैनर एक साथ लाखों साइट को परखते हैं, और सॉफ़्टवेयर वर्शन की जानी-पहचानी कमज़ोरियाँ, आम पासवर्ड और खुली कॉन्फ़िगरेशन फ़ाइलें टेस्ट करते हैं। किसी साइट को निशाना बनने के लिए ज़्यादा ट्रैफ़िक वाली या मशहूर होने की ज़रूरत नहीं। उसे बस ऑनलाइन होना और कोई ऐसी चीज़ चलाना काफ़ी है जिसमें जानी-पहचानी ख़ामी हो। ये उपाय न होने पर क्या दाँव पर लगता है, इसकी पूरी तस्वीर के लिए वेबसाइट सिक्योरिटी क्यों ज़रूरी है वाला आर्टिकल देखें।

मज़बूत ऑथेंटिकेशन से अपनी वेबसाइट को हैकर से कैसे बचाएँ

क्रेडेंशियल पर हमले वेबसाइट में घुसने के हमलावरों के सबसे आम तरीक़ों में से हैं। सिर्फ़ मज़बूत पासवर्ड काफ़ी नहीं है। ऑटोमैटिक ब्रूट फ़ोर्स टूल को असल में जो रोकता है, वह है मज़बूत पासवर्ड के साथ रेट लिमिटिंग और दूसरा ऑथेंटिकेशन फ़ैक्टर।

मज़बूत और अलग-अलग पासवर्ड

• एडमिन अकाउंट के पासवर्ड लंबे, रैंडम और उस साइट के लिए अलग होने चाहिए। किसी दूसरी सेवा से दोबारा इस्तेमाल नहीं किए हुए
• छोटे पासवर्ड और आम शब्दों या पैटर्न पर आधारित पासवर्ड ऑटोमैटिक ब्रूट फ़ोर्स टूल सबसे पहले आज़माते हैं, जो हर मिनट हज़ारों मेल कोशिश कर सकते हैं
• पासवर्ड मैनेजर मज़बूत क्रेडेंशियल बनाता और सँभालकर रखता है, उन्हें आपको याद रखने की ज़रूरत नहीं पड़ती

टू-फ़ैक्टर ऑथेंटिकेशन

• टू-फ़ैक्टर ऑथेंटिकेशन में एडमिन पैनल में लॉगिन करते समय पासवर्ड के अलावा दूसरा वेरिफ़िकेशन कदम चाहिए
• अगर पासवर्ड डेटा ब्रीच या फ़िशिंग हमले से चोरी भी हो जाए, तो टू-फ़ैक्टर ऑथेंटिकेशन हमलावर को उसे इस्तेमाल करने से रोकता है, जब तक दूसरा फ़ैक्टर भी उसके कंट्रोल में न हो
• हर एडमिन अकाउंट पर इसे चालू करना वेबसाइट सिक्योरिटी के लिए उपलब्ध सबसे असरदार अकेले बदलावों में से एक है

लॉगिन कोशिशों की सीमा

• ब्रूट फ़ोर्स टूल हज़ारों पासवर्ड तेज़ी से एक के बाद एक आज़माकर काम करते हैं। IP एड्रेस को लॉक करने से पहले फ़ेल हुई लॉगिन कोशिशों की संख्या पर सीमा रखने से यह तरीक़ा रुक जाता है
• कई वेबसाइट प्लेटफ़ॉर्म में लॉगिन कोशिशों की सीमा बिल्ट-इन सेटिंग के रूप में या सिक्योरिटी एक्सटेंशन से मिलती है

इस्तेमाल न होने वाले अकाउंट हटाना

• कमज़ोर या दोबारा इस्तेमाल हुए पासवर्ड वाला हर सक्रिय एडमिन अकाउंट संभावित प्रवेश बिंदु है
• पुराने कर्मचारियों, कॉन्ट्रैक्टर या डेवलपर के लिए बनाए गए अकाउंट ज़रूरत ख़त्म होते ही हटा देने चाहिए

सॉफ़्टवेयर की साफ़-सफ़ाई से अपनी वेबसाइट को हैकर से कैसे बचाएँ

पुराना सॉफ़्टवेयर वेबसाइट में सबसे ज़्यादा भुनाई जाने वाली कमज़ोरी की श्रेणी है। जब कोई सुरक्षा ख़ामी मिलती है और पैच होती है, तो उसकी जानकारी आमतौर पर पैच के साथ ही छप जाती है। पुराने वर्शन पर चलने वाली साइट तब एक दर्ज, जाना-पहचाना निशाना बन जाती हैं।

अपडेट उपलब्ध होते ही लगाएँ

• वेबसाइट प्लेटफ़ॉर्म, प्लगइन, थीम और इंटीग्रेशन के अपडेट तुरंत लगाने चाहिए। इनमें अक्सर सिक्योरिटी पैच होते हैं, और देरी जानी-पहचानी कमज़ोरियों को खुला छोड़ती है
• जहाँ संभव हो, अपडेट ऑटोमैटिक लगने पर सेट करने से किसी ज़रूरी पैच के छूटने का जोखिम ख़त्म हो जाता है

इस्तेमाल न होने वाले प्लगइन और थीम हटाएँ

• जो प्लगइन और थीम इस्तेमाल में नहीं हैं पर अपडेट नहीं किए जाते, वे साइट पर चालू न होने पर भी कमज़ोर बने रहते हैं
• उन्हें हटाने से हमले की सतह घटती है और लाइव साइट पर किसी चीज़ पर असर नहीं पड़ता

सिर्फ़ भरोसेमंद स्रोतों का सॉफ़्टवेयर इस्तेमाल करें

• अनधिकृत स्रोतों के प्लगइन, थीम और एक्सटेंशन मैलवेयर फैलाने का आम ज़रिया हैं
• सिर्फ़ प्लेटफ़ॉर्म के आधिकारिक मार्केटप्लेस या नामी, स्थापित डेवलपर के सॉफ़्टवेयर इस्तेमाल करने से पहले से संक्रमित कोड इंस्टॉल करने का जोखिम घटता है

HTTPS आपकी वेबसाइट की सुरक्षा कैसे करता है?

SSL सर्टिफ़िकेट और HTTPS बुनियादी ज़रूरतें हैं। ये रास्ते में डेटा की रक्षा करते हैं और सर्च इंजन को संकेत देते हैं कि साइट सुरक्षा के न्यूनतम मानक पूरे करती है। इसे सेट करने की पूरी जानकारी के लिए SSL सर्टिफ़िकेट क्या है और कैसे काम करता है वाला आर्टिकल देखें।

HTTPS क्या करता है

• HTTPS विज़िटर के फ़ॉर्म, लॉगिन पेज और चेकआउट प्रक्रिया से भेजे डेटा को एन्क्रिप्ट करता है, ताकि रास्ते में पकड़े जाने पर वह पढ़ा न जा सके
• SSL सर्टिफ़िकेट साइट की पहचान भी जाँचता है, जिससे ट्रैफ़िक को बीच में पकड़ने और नक़ल करने के कुछ तरीक़ों से बचाव होता है

HTTPS क्या नहीं करता

• HTTPS साइट पर ही होने वाले हमलों को नहीं रोकता। SQL इंजेक्शन, क्रॉस-साइट स्क्रिप्टिंग, ब्रूट फ़ोर्स लॉगिन कोशिशें और मैलवेयर इंजेक्शन HTTPS से नहीं रुकते
• यह सुरक्षा की एक परत है, बाक़ियों का विकल्प नहीं

वेब एप्लिकेशन फ़ायरवॉल कैसे मदद करता है?

यह क्या करता है

• वेब एप्लिकेशन फ़ायरवॉल आने वाले ट्रैफ़िक और वेबसाइट के बीच बैठता है, और रिक्वेस्ट सर्वर तक पहुँचने से पहले उनकी जाँच करता है
• यह उन रिक्वेस्ट को छान देता है जो जाने-पहचाने हमले के पैटर्न से मेल खाती हैं, जिनमें SQL इंजेक्शन की कोशिशें, क्रॉस-साइट स्क्रिप्टिंग पेलोड और जाने-पहचाने नुक़सानदेह स्रोतों का ट्रैफ़िक शामिल है
• जो हमले कभी सर्वर तक पहुँचते ही नहीं, वे साइट के कोड की कमज़ोरियों का फ़ायदा नहीं उठा सकते

नेटवर्क-लेवल बनाम एप्लिकेशन-लेवल फ़ायरवॉल

• नेटवर्क-लेवल फ़ायरवॉल इंफ्रास्ट्रक्चर के स्तर पर ट्रैफ़िक सर्वर तक पहुँचने से पहले छानते हैं। ये आमतौर पर होस्टिंग कंपनियाँ और CDN प्रोवाइडर देते हैं
• एप्लिकेशन-लेवल फ़ायरवॉल साइट के स्तर पर काम करते हैं और साइट के कंटेंट व व्यवहार के आधार पर ज़्यादा ख़ास तरीक़े से तय कर सकते हैं कि कौन-सी रिक्वेस्ट आने दें
• दोनों के मक़सद अलग हैं और इन्हें साथ इस्तेमाल किया जा सकता है

बैकअप आपकी वेबसाइट को हैकर से बचाने का हिस्सा क्यों हैं

कोई भी सुरक्षा उपाय सारा जोखिम ख़त्म नहीं करता। जब कुछ घुस ही जाए, तो साफ़ बैकअप तय करता है कि आप कितनी जल्दी उबरेंगे और कितना खोएँगे।

बैकअप वह करते हैं जो रोकथाम के उपाय नहीं कर सकते

• जो रैनसमवेयर हमले साइट की फ़ाइलें एन्क्रिप्ट करते हैं, वे हाल का साफ़ बैकअप होने पर कहीं कम नुक़सान करते हैं। बैकअप से रीस्टोर करने पर हमलावर का दबाव पूरी तरह ख़त्म हो जाता है
• साफ़ बैकअप एक जाँचा हुआ संदर्भ बिंदु भी देता है, जिससे तुलना करके पता चलाया जा सकता है कि हमलावर ने क्या बदला

बैकअप को काम का क्या बनाता है

• बैकअप साइट के सर्वर से अलग रखे जाने चाहिए। उसी सर्वर पर रखा बैकअप हमले में बाक़ी सब के साथ हैक या एन्क्रिप्ट हो जाता है
• बैकअप की आवृत्ति इस पर निर्भर होनी चाहिए कि साइट कितनी बार बदलती है। रोज़ अपडेट होने वाली साइट को रोज़ बैकअप चाहिए
• यह टेस्ट करना कि बैकअप सच में रीस्टोर हो सकता है, बैकअप होने जितना ही ज़रूरी है। जो बैकअप रीस्टोर पर फ़ेल हो जाए, वह बैकअप नहीं है

वेबसाइट बैकअप सेट करने और संभालने की पूरी गाइड के लिए अपनी वेबसाइट का बैकअप कैसे लें वाला आर्टिकल देखें। अगर आपकी साइट पर मैलवेयर पहले से है तो क्या करें, इसके लिए वेबसाइट मैलवेयर क्या है और उसे कैसे हटाएँ वाला आर्टिकल देखें।

WEMASY वेबसाइट की सुरक्षा कैसे संभालता है

WEMASY के होस्टिंग इंफ्रास्ट्रक्चर में नेटवर्क के स्तर पर फ़ायरवॉल सुरक्षा और DDoS से बचाव शामिल है। SSL सर्टिफ़िकेट हर प्लान में शामिल हैं और अपने आप लागू होते हैं, इसलिए सभी साइट डिफ़ॉल्ट रूप से HTTPS पर चलती हैं। सॉफ़्टवेयर अपडेट प्लेटफ़ॉर्म के स्तर पर मैनेज किए जाते हैं, इसलिए पैच लगाने की ज़िम्मेदारी साइट मालिक पर नहीं रहती।

अपने खाते के लिए मज़बूत और अलग पासवर्ड रखना हर हाल में आपके हाथ में रहता है।

क्या-क्या शामिल है, यह WEMASY वेबसाइट बिल्डर पर देखें, या प्राइसिंग पेज पर प्लान के विकल्प देखें।

अक्सर पूछे जाने वाले सवाल