Kunden ser ikke det samme som dig
Du åbner sikkert din egen side fra det samme bogmærke eller skriver adressen, som du plejer. Dine besøgende kommer ad alle mulige veje: nogle skriver www foran, andre ikke; nogle klikker på et gammelt link, der starter med http://. Hver eneste af de veje skal ende det samme, sikre sted.
Gør de ikke det, opdager du det aldrig selv — men kunden gør. Og en fejlside eller en certifikat-advarsel siger ikke "lille teknisk detalje" til en kunde. Den siger "her er noget galt" — eller værre: "de er vist lukket".
www eller ej — begge adresser skal virke
jeresfirma.dk og www.jeresfirma.dk ligner hinanden, men er teknisk set to forskellige adresser. Folk skriver den, de plejer — og begge skal føre ind til den samme side.
Virker kun den ene, møder en del af jeres gæster en fejlside eller en advarsel i browseren. De færreste prøver den anden variant bagefter; de konkluderer bare, at siden er nede — eller at I ikke findes længere.
Rettelsen er enkel: en videresendelse hos webhotellet, så den ene adresse automatisk sender folk til den anden. Vælg én som hovedadresse, og lad den anden pege derhen — som regel en enkelt indstilling.
Hængelåsen: HTTPS — og den automatiske videresendelse
Hængelåsen i browseren betyder, at forbindelsen mellem kunden og jeres side er krypteret — ingen kan læse med eller ændre i det, der sendes frem og tilbage. To ting skal være på plads:
- Certifikatet — det, der giver hængelåsen. Hos de fleste moderne webhoteller følger et gratis certifikat med i abonnementet — er I i tvivl, så spørg jeres udbyder.
- Videresendelsen fra den gamle, ukrypterede dør (http) til den sikre (https). Mangler den, kan besøgende lande på en udgave af siden, hvor det, de ser og skriver, kan aflyttes eller ændres undervejs — fx på et offentligt wi-fi.
Og så er der ordet i adresselinjen: mangler opsætningen, skriver browseren "ikke sikker" — lige ved siden af jeres firmanavn. Rettelsen hedder typisk "tving HTTPS" eller "redirect til HTTPS" i webhotellets kontrolpanel.
Sikkerhedsheaders — det usynlige sikkerhedsnet
Sikkerhedsheaders er små instruktioner, jeres side sender med til browseren: "husk altid den sikre forbindelse fremover" (HSTS) · "gæt ikke selv på, hvad filer er" · "lad ikke siden blive lagt usynligt oven på en anden" (clickjacking-værn) · husregler for, hvad der må hentes og køres på siden (CSP).
Ingen af dem kan ses med det blotte øje, og manglen på dem er ikke et hul i sig selv — det er et manglende sikkerhedsnet. Skulle nogen en dag få smuglet skadelig kode ind på siden, fx gennem et hacket plugin, er det nettet her, der bremser skaden.
De basale af dem er tit én linje i serverens opsætning — mens især husreglerne (CSP) skal skrues på med omtanke, så de ikke blokerer noget, siden selv bruger. Vigtigst er de på sider med login, betaling eller formularer — men de basale hører hjemme på enhver side.
Den gode nyhed: det her er små rettelser
Alt ovenstående er typisk indstillinger, ikke projekter: en videresendelse hér, én linje dér. Det meste er hurtigt klaret for en, der er hjemmevant i webhotellets kontrolpanel — og så ser butikken åben ud fra alle sider igen.
Vil du også vide, om andre kan sende mails i jeres navn? Det er endnu vigtigere — og forklaret lige så roligt i guiden om falske mails. Og fundamentet under både web og mail — selve domænet — kan du læse om i guiden om DNSSEC.