कैसे पहचानें कि वेबसाइट सुरक्षित है

साफ़ और प्रोफ़ेशनल दिखने वाली वेबसाइट भी इस्तेमाल के लिए पूरी तरह असुरक्षित हो सकती है। कोई भी जानकारी डालने से पहले यह जाँचना कि वेबसाइट सुरक्षित है या नहीं, मुश्किल नहीं है, लेकिन इसके लिए यह जानना ज़रूरी है कि कहाँ देखना है, क्योंकि साफ़ दिखने वाले संकेत हमेशा वही नहीं होते जो मायने रखते हैं।

जो संकेत बताते हैं कि साइट सुरक्षित है या नहीं, वे ब्राउज़र में और पेज पर ही दिखते हैं। इस आर्टिकल में बताया गया है कि क्या जाँचना है, हर संकेत का मतलब क्या है, और कुछ ठीक न लगे तो क्या करना है।

यही जाँच तब भी लागू होती हैं जब आप ऐसे विज़िटर हों जो तय कर रहा हो कि साइट पर भरोसा करे या नहीं, या ऐसे साइट मालिक जो समझना चाहता हो कि विज़िटर आपकी साइट पर आकर क्या देखते हैं। सुरक्षित और असुरक्षित वेबसाइट एक जैसे निशान छोड़ती हैं। क्या देखना है, यह जानने से अंदाज़ा लगाने की ज़रूरत नहीं रहती। वेबसाइट सिक्योरिटी सिर्फ़ बड़ी साइट के लिए नहीं, हर साइट के लिए क्यों मायने रखती है, इसकी समझ के लिए वेबसाइट सिक्योरिटी क्यों ज़रूरी है वाला आर्टिकल देखें।

कैसे जाँचें कि वेबसाइट सुरक्षित है

पहले एड्रेस बार देखें

ब्राउज़र का एड्रेस बार शुरू करने की सबसे तेज़ जगह है। पेज का एक शब्द पढ़ने से पहले ही दो चीज़ें आपको बहुत कुछ बता देती हैं।

• पता HTTP नहीं, HTTPS से शुरू होना चाहिए। S का मतलब है Secure। इसका मतलब है कि आपके ब्राउज़र और साइट के बीच का कनेक्शन एन्क्रिप्टेड है, इसलिए आपकी भेजी कोई भी जानकारी भेजे जाने से पहले उलझा दी जाती है। जिस साइट का पता सादे HTTP से शुरू होता है, उस पर सिक्योरिटी सर्टिफ़िकेट नहीं चल रहा, और फ़ॉर्म से आप जो भी भेजते हैं वह बिना सुरक्षा के जाता है
• वैध सिक्योरिटी सर्टिफ़िकेट वाली साइट पर पते के पास पैडलॉक आइकन दिखता है। पैडलॉक नहीं, यानी सर्टिफ़िकेट नहीं, यानी एन्क्रिप्टेड कनेक्शन नहीं। पैडलॉक पर क्लिक करने से सर्टिफ़िकेट की जानकारी दिखती है, जिसमें यह भी कि किसने जारी किया और कब एक्सपायर होगा

HTTPS और पैडलॉक बुनियादी चीज़ें हैं। इनके बिना साइट पहली जाँच में ही फ़ेल हो जाती है। सिक्योरिटी सर्टिफ़िकेट क्या है और क्या करता है, इसकी पूरी जानकारी के लिए वेबसाइट सिक्योरिटी सर्टिफ़िकेट क्या है और आपकी साइट को इसकी ज़रूरत क्यों है वाला आर्टिकल देखें।

URL को ध्यान से पढ़ें

HTTPS का पैडलॉक सिर्फ़ यह बताता है कि कनेक्शन एन्क्रिप्टेड है। यह नहीं बताता कि साइट भरोसेमंद है। ठगी वाली साइट के पास भी असली साइट जितनी आसानी से वैध सिक्योरिटी सर्टिफ़िकेट हो सकता है। इसीलिए असली डोमेन नाम पढ़ना मायने रखता है।

• एड्रेस बार में पूरा डोमेन नाम देखें, सिर्फ़ पेज का टाइटल नहीं। बैंक या किसी जानी-पहचानी सेवा जैसी दिखने के लिए बनाई गई साइट अक्सर ऐसा डोमेन इस्तेमाल करती है जो एक नज़र में मिलता-जुलता दिखे लेकिन थोड़ा अलग हो। अतिरिक्त अक्षर, हाइफ़न या अजीब अंत, सब ध्यान देने लायक़ हैं
• जाँचें कि डोमेन उसी साइट से मेल खाता है जिस पर आप जाना चाहते थे। अगर आपने ईमेल या किसी दूसरी साइट के लिंक पर क्लिक किया था, तो पक्का करें कि बार में दिखता पता वही है जहाँ आप जाना चाहते थे
• पते में अक्षरों की लंबी, अनजान कड़ियाँ, या URL की शुरुआत से ही ऐसे डोमेन जिन्हें आप नहीं पहचानते, सावधानी से लेने लायक़ हैं

देखें कि ब्राउज़र आपको क्या बता रहा है

ब्राउज़र असुरक्षित साइट को सीधे फ़्लैग करते हैं। इन चेतावनियों को गंभीरता से लेना चाहिए।

• HTTPS के बिना चलने वाली साइट पर एड्रेस बार में "Not secure" लेबल दिखता है। कुछ ब्राउज़र इसे सभी HTTP पेजों पर दिखाते हैं। दूसरे इसे सिर्फ़ फ़ॉर्म या लॉगिन फ़ील्ड वाले पेजों पर फ़्लैग करते हैं, जहाँ जानकारी डालना सबसे साफ़ जोखिम है
• जब ब्राउज़र को ज़्यादा गंभीर समस्या दिखती है, तो पूरे पेज की चेतावनी आती है, अक्सर लाल या नारंगी, जिसमें "Your connection is not private" या "This site may be unsafe" जैसा टेक्स्ट होता है। इसका मतलब हो सकता है कि सिक्योरिटी सर्टिफ़िकेट एक्सपायर हो गया है, सर्टिफ़िकेट डोमेन से मेल नहीं खाता, या साइट को नुक़सानदेह कंटेंट के लिए फ़्लैग किया गया है। ये चेतावनियाँ आपको आगे बढ़ने से रोकने के लिए हैं, और इन्हें सुनना सही है
• अगर पूरे पेज की चेतावनी आए, तो आगे तब तक क्लिक न करें जब तक साइट पर भरोसा करने की कोई ख़ास वजह न हो और आप समझते हों कि चेतावनी का मतलब क्या है

साइट ख़ुद देखें

पेज पर पहुँचने के बाद कुछ चीज़ें बताती हैं कि साइट वही है या नहीं जो वह दिखती है।

• असली पते, फ़ोन नंबर या ईमेल वाला चालू कॉन्टैक्ट पेज एक अच्छा संकेत है। जो साइट सिर्फ़ जानकारी इकट्ठा करने के लिए बनाई जाती हैं, वे अक्सर इन्हें छोड़ देती हैं या आम प्लेसहोल्डर टेक्स्ट इस्तेमाल करती हैं
• प्राइवेसी पॉलिसी और सेवा की शर्तों के पेज जिनमें सच में कंटेंट हो, सिर्फ़ हेडिंग और नीचे कुछ नहीं नहीं, यह संकेत है कि साइट ठीक से चलने के लिए बनी है
• वर्तनी की ग़लतियाँ, टूटी इमेज, या अधूरे दिखने वाले लेआउट की समस्याएँ जल्दबाज़ी में बनी साइट के संकेत हो सकते हैं। ये गारंटी नहीं कि कुछ ग़लत है, लेकिन दूसरे संकेतों के साथ मिलकर ये जुड़ते जाते हैं
• ऐसी जानकारी की माँग जो बेमेल लगे, जैसे जब कोई साफ़ वजह न हो और साइट सोशल सिक्योरिटी नंबर या बैंक की जानकारी माँगे, उसे ख़तरे का संकेत मानना चाहिए, चाहे बाक़ी साइट कैसी भी दिखे

वेबसाइट सेफ़्टी चेकर कैसे इस्तेमाल करें

वेबसाइट सेफ़्टी चेकर एक ऐसा टूल है जो किसी URL को नुक़सानदेह या रिपोर्ट की गई साइट की जानी-पहचानी सूचियों से मिलाता है और सुरक्षा का आकलन देता है। ये टूल जल्दी दूसरी राय के लिए काम के हैं, ख़ासकर उन साइट के लिए जिन पर आप पहले नहीं गए।

सेफ़्टी चेकर क्या देखते हैं

• ब्राउज़र बनाने वालों और सिक्योरिटी संस्थाओं की रखी जानी-पहचानी नुक़सानदेह साइट की सूचियाँ। जिन साइट की पुष्टि फ़िशिंग पेज, मैलवेयर बाँटने वाली या ठगी चलाने वाली के रूप में हो चुकी है, वे इन सूचियों में आती हैं और तुरंत फ़्लैग हो जाती हैं
• डोमेन की उम्र और साख। नए रजिस्टर हुए डोमेन जिनकी पहले ही समस्याओं के लिए रिपोर्ट हो चुकी है, या ऐसे डोमेन जो नुक़सानदेह गतिविधि से जुड़े पैटर्न दिखाते हैं, किसी ख़ास सूची में जुड़ने से पहले भी फ़्लैग हो सकते हैं
• क्या साइट के पास वैध सिक्योरिटी सर्टिफ़िकेट है और क्या HTTPS ठीक से कॉन्फ़िगर है
• क्या पहले के किसी विज़िटर ने साइट की रिपोर्ट की है

सेफ़्टी चेकर आपको क्या नहीं बता सकते

वेबसाइट सेफ़्टी चेकर का साफ़ रिज़ल्ट इस बात की गारंटी नहीं कि साइट भरोसेमंद है। इसका मतलब सिर्फ़ यह है कि जिन सूचियों से टूल मिलाता है, उन पर साइट की रिपोर्ट या फ़्लैग नहीं हुआ है।

• बिल्कुल नई ठगी वाली साइट सेफ़्टी जाँच पास कर लेगी अगर उसकी अभी रिपोर्ट नहीं हुई। नुक़सानदेह साइट अक्सर सूची में जुड़ने से पहले दिनों या हफ़्तों तक सूचियों से आगे रहती हैं
• सेफ़्टी चेकर साइट के कंटेंट की गुणवत्ता या ईमानदारी नहीं आँकते। कोई साइट हर ऑटोमैटिक जाँच पास कर सकती है और फिर भी विज़िटर को गुमराह करने के लिए बनी हो सकती है
• सेफ़्टी चेकर को बाक़ी जाँचों के साथ एक इनपुट की तरह इस्तेमाल करें, इकलौते की तरह नहीं

वेबसाइट को असल में इस्तेमाल के लिए सुरक्षित क्या बनाता है

HTTPS शुरुआत है, मंज़िल नहीं

HTTPS और वैध पैडलॉक वाली साइट सुरक्षित कनेक्शन की बुनियादी तकनीकी ज़रूरतें पूरी कर चुकी है। इसकी पुष्टि करना ज़रूरी है, लेकिन यह जाँच की शुरुआत है, अंत नहीं।

HTTPS ब्राउज़र और सर्वर के बीच सफ़र कर रहे डेटा की रक्षा करता है। यह इस बारे में कुछ नहीं कहता कि डेटा पहुँचने के बाद साइट उसका क्या करती है। साइट के पास वैध सर्टिफ़िकेट हो सकता है और फिर भी वह ऐसे मक़सदों के लिए जानकारी इकट्ठा कर रही हो सकती है जिनके लिए विज़िटर तब सहमत नहीं होता जब उसे पता चलता। HTTPS कैसे काम करता है और असल में किसकी रक्षा करता है, इसके पूरे ब्योरे के लिए HTTPS क्या है और यह आपकी वेबसाइट की सुरक्षा कैसे करता है वाला आर्टिकल देखें।

पेज पर भरोसे के संकेत

तकनीकी जाँच के आगे, जो साइट ठीक से चलने के लिए बनी होती हैं, वे बुनियादी चीज़ें संभालने के तरीक़े में यह दिखाती हैं।

• इस बारे में साफ़ जानकारी कि साइट कौन चलाता है और उनसे संपर्क कैसे करें
• ऐसी पॉलिसी जो बताएँ कि कौन-सा डेटा इकट्ठा होता है और कैसे इस्तेमाल होता है
• चेकआउट प्रक्रिया, अगर है, जो जानी-पहचानी पेमेंट विधि इस्तेमाल करे और लेन-देन पक्का करने से पहले दिखाए कि आप किस चीज़ का भुगतान कर रहे हैं
• कोई दबाव बनाने वाली चालें नहीं: काउंटडाउन टाइमर, यह दावे कि अभी कदम न उठाया तो आपका अकाउंट लॉक हो जाएगा, या यह चेतावनी कि आपका डिवाइस संक्रमित हो गया है, ये विज़िटर को बिना सोचे फ़ैसले की जल्दबाज़ी में डालने के आम तरीक़े हैं

SSL सर्टिफ़िकेट क्या साबित करते हैं और क्या नहीं

बुनियादी SSL सर्टिफ़िकेट, जो साइट को पैडलॉक और HTTPS देता है, एक ही बात साबित करता है: कि जिसने उसे लगाया है उसका डोमेन पर कंट्रोल है। यह यह नहीं जाँचता कि साइट के पीछे का बिज़नेस वैध है, कि साइट की स्वतंत्र समीक्षा हुई है, या कि उसे चलाने वाले वही हैं जो वे कहते हैं।

ऊँचे स्तर के सर्टिफ़िकेट इससे आगे जाते हैं। ऑर्गनाइज़ेशन वैलिडेशन या एक्सटेंडेड वैलिडेशन सर्टिफ़िकेट में सर्टिफ़िकेट अथॉरिटी को बिज़नेस की क़ानूनी पहचान जाँचनी होती है। इन सर्टिफ़िकेट वाली साइट की जाँच सिर्फ़ डोमेन के मालिकाना हक़ से आगे हुई होती है। ज़्यादातर रोज़मर्रा की वेबसाइट के लिए इस स्तर की जाँच ज़रूरी नहीं, लेकिन वित्तीय या सरकारी प्लेटफ़ॉर्म पर इस फ़र्क़ को जानना काम का है। सर्टिफ़िकेट के प्रकारों और हर एक के साबित करने की पूरी जानकारी के लिए SSL सर्टिफ़िकेट क्या है और कैसे काम करता है वाला आर्टिकल देखें।

जब वेबसाइट सुरक्षित न दिखे तो क्या करें

• जिस साइट के बारे में आप पक्के नहीं हैं, उस पर कोई निजी जानकारी, लॉगिन जानकारी या पेमेंट की जानकारी न डालें। एक बार भेजी जानकारी वापस नहीं ली जा सकती
• टैब बंद करें और जिस साइट पर पहुँचना चाहते थे, वहाँ पता ख़ुद टाइप करके सीधे जाएँ, उस लिंक का पीछा करने की जगह जो आपको कहीं अनचाही जगह ले गया हो सकता है
• अगर आप ऐसी साइट पर जानकारी भेज चुके हैं जो असुरक्षित निकली, तो उस ईमेल एड्रेस से जुड़ा पासवर्ड तुरंत बदलें। अगर पेमेंट की जानकारी शामिल थी, तो अपने बैंक से संपर्क करें
• अगर ब्राउज़र या सेफ़्टी टूल रिपोर्ट करने का विकल्प दे, तो साइट की रिपोर्ट करें। इससे साइट को चेतावनी सूचियों में जल्दी जोड़ने में मदद मिलती है, जो दूसरे विज़िटर की रक्षा करता है
• अगर आप अपनी साइट चला रहे हैं और समझना चाहते हैं कि आपकी सिक्योरिटी जाँचते समय आपके विज़िटर क्या देखते हैं, तो देखें कि HTTPS चालू है या नहीं, सर्टिफ़िकेट वैध है और एक्सपायर नहीं हुआ, और पेज पर कुछ ऐसा तो नहीं जो उस व्यक्ति को ख़तरे का संकेत लगे जो साइट को पहले से नहीं जानता

WEMASY साइट सिक्योरिटी के संकेत कैसे संभालता है

WEMASY पर बनी हर साइट डिफ़ॉल्ट रूप से HTTPS पर चलती है। SSL सर्टिफ़िकेट सभी प्लान में शामिल हैं और साइट या कस्टम डोमेन जुड़ने पर अपने आप लागू होते हैं। कोई सेटअप नहीं चाहिए और रिन्यू करने को कुछ नहीं। एड्रेस बार देखने वाले विज़िटर को पहले दिन से HTTPS और पैडलॉक दिखेगा।

HTTP से HTTPS के रीडायरेक्ट प्लेटफ़ॉर्म के स्तर पर लगे हैं, इसलिए विज़िटर चाहे जैसे पहुँचें, हमेशा साइट के सुरक्षित वर्शन पर ही उतरते हैं। मिक्स्ड कंटेंट की चेतावनियाँ, जो तब आती हैं जब पेज HTTPS पर लोड होता है पर कुछ एलिमेंट नहीं, चिंता की बात नहीं हैं क्योंकि प्लेटफ़ॉर्म से दिए जाने वाले सभी एसेट पूरी तरह HTTPS इस्तेमाल करते हैं।

क्या-क्या शामिल है, यह WEMASY वेबसाइट बिल्डर पर देखें, या प्राइसिंग पेज पर प्लान के विकल्प देखें।

अक्सर पूछे जाने वाले सवाल