Web, který vypadá čistě a profesionálně, může být přesto zcela nebezpečný. Vědět, jak zkontrolovat, zda je web bezpečný, než do něj zadáte jakékoli informace, není složité, ale vyžaduje to vědět, kam se dívat, protože zjevné znaky nejsou vždy ty, na kterých záleží.
Signály, které říkají, zda je web bezpečný, jsou vidět v prohlížeči i na samotné stránce. Tento článek pokrývá, co kontrolovat, co který signál znamená a co dělat, když něco nevypadá správně.
Stejné kontroly platí, ať jste návštěvník, který se rozhoduje, zda webu důvěřovat, nebo majitel webu, který chce pochopit, co návštěvníci vidí, když přijdou na ten váš. Bezpečné i nebezpečné weby zanechávají stejné stopy. Když víte, na co se dívat, odpadá hádání. Souvislosti o tom, proč je zabezpečení webu důležité pro každý web, nejen pro velké, najdete v článku proč je zabezpečení webu důležité.
Jak zkontrolovat, zda je web bezpečný
Nejdřív se podívejte do adresního řádku
Adresní řádek prohlížeče je nejrychlejší místo, kde začít. Dvě věci vám prozradí hodně dřív, než přečtete jediné slovo na stránce.
- Adresa by měla začínat HTTPS, ne HTTP. Písmeno S znamená Secure, tedy zabezpečený. Znamená to, že je spojení mezi vaším prohlížečem a webem šifrované, takže všechny informace, které odešlete, jsou zamíchané dřív, než putují dál. Web s adresou začínající prostým HTTP nemá bezpečnostní certifikát a všechno, co odešlete přes formulář, odchází nechráněné
- Ikona zámku se vedle adresy objeví na webech s nainstalovaným platným bezpečnostním certifikátem. Žádný zámek znamená žádný certifikát, a tedy žádné šifrované spojení. Kliknutí na zámek ukáže podrobnosti o certifikátu, včetně toho, kdo ho vydal a kdy vyprší
HTTPS a zámek jsou základ. Web bez nich neprojde první kontrolou okamžitě. Úplné vysvětlení toho, co je bezpečnostní certifikát a co dělá, najdete v článku co je bezpečnostní certifikát webu a proč ho váš web potřebuje.
Pozorně si přečtěte adresu URL
Zámek u HTTPS říká jen to, že je spojení šifrované. Neříká, že je web důvěryhodný. Podvodný web může mít platný bezpečnostní certifikát stejně snadno jako skutečný. Proto záleží na tom, přečíst si skutečný název domény.
- Podívejte se na celý název domény v adresním řádku, ne jen na název stránky. Web navržený tak, aby vypadal jako banka nebo známá služba, často používá doménu, která na první pohled vypadá podobně, ale je mírně odlišná. Zbytečné znaky, pomlčky nebo neobvyklé koncovky stojí za povšimnutí
- Zkontrolujte, že doména odpovídá webu, který jste chtěli navštívit. Pokud jste klikli na odkaz v e-mailu nebo na jiném webu, potvrďte, že adresa v řádku odpovídá tomu, kam jste chtěli jít
- Dlouhé, neznámé řetězce znaků v adrese nebo domény, které od začátku adresy URL nepoznáváte, je dobré brát s opatrností
Zkontrolujte, co vám říká prohlížeč
Prohlížeče nebezpečné weby označují přímo. Tato varování stojí za to brát vážně.
- Štítek „Nezabezpečeno" v adresním řádku se objevuje na webech poskytovaných bez HTTPS. Některé prohlížeče ho zobrazují na všech stránkách na HTTP. Jiné ho označují jen na stránkách s formuláři nebo přihlašovacími poli, kde je zadávání informací nejzřetelnějším rizikem
- Varování přes celou stránku, často červené nebo oranžové, s textem jako „Vaše připojení není soukromé" nebo „Tento web může být nebezpečný", se objeví, když prohlížeč zjistí závažnější problém. Může to znamenat, že bezpečnostní certifikát vypršel, že certifikát neodpovídá doméně nebo že byl web označen pro škodlivý obsah. Tato varování existují proto, aby vás zastavila, a stojí za to je poslechnout
- Pokud se zobrazí varování přes celou stránku, neklikejte dál, pokud nemáte konkrétní důvod webu důvěřovat a nechápete, co varování znamená
Podívejte se na web samotný
Jakmile jste na stránce, několik věcí vám řekne víc o tom, zda je web tím, čím se zdá.
- Fungující kontaktní stránka se skutečnou adresou, telefonním číslem nebo e-mailem je pozitivní signál. Weby zřízené čistě ke sběru informací je často vynechávají nebo používají obecný zástupný text
- Stránky se zásadami ochrany osobních údajů a podmínkami služby, které opravdu něco obsahují, a ne jen nadpis, pod kterým nic není, naznačují web, který je postaven tak, aby fungoval řádně
- Překlepy, rozbité obrázky nebo problémy s rozvržením, které vypadají nedodělané, mohou být znaky ukvapeně postaveného webu. Nejsou zárukou, že je něco špatně, ale spolu s dalšími signály se sčítají
- Požadavky na informace, které působí nepatřičně, třeba web žádající rodné číslo nebo bankovní údaje bez zjevného důvodu, je třeba brát jako varovný signál bez ohledu na to, jak vypadá zbytek webu
Jak používat nástroj pro kontrolu bezpečnosti webu
Nástroj pro kontrolu bezpečnosti webu je nástroj, který vyhledá adresu URL v seznamech známých škodlivých nebo nahlášených webů a vrátí posouzení bezpečnosti. Tyto nástroje se hodí jako rychlý druhý názor, zvlášť u webů, které jste dosud nenavštívili.
Na co se nástroje pro kontrolu bezpečnosti dívají
- Seznamy známých škodlivých webů vedené výrobci prohlížečů a bezpečnostními organizacemi. Weby potvrzené jako phishingové stránky, šiřitelé malwaru nebo podvodné operace se na těchto seznamech objevují a budou okamžitě označeny
- Stáří a pověst domény. Nově registrované domény, které už byly nahlášeny pro problémy, nebo domény vykazující vzorce spojené se škodlivou činností, mohou být označeny, i když ještě nebyly přidány na konkrétní seznam
- Zda má web platný bezpečnostní certifikát a zda je HTTPS správně nastaveno
- Zda web nenahlásili dřívější návštěvníci
Co vám nástroje pro kontrolu bezpečnosti říct nemohou
Čistý výsledek nástroje pro kontrolu bezpečnosti webu není zárukou, že je web důvěryhodný. Znamená to, že web nebyl nahlášen ani označen na seznamech, které nástroj kontroluje.
- Zcela nový podvodný web kontrolou bezpečnosti projde, pokud ještě nebyl nahlášen. Škodlivé weby často zůstávají před seznamy o dny nebo týdny napřed, než jsou přidány
- Nástroje pro kontrolu bezpečnosti neposuzují kvalitu ani poctivost obsahu webu. Web může projít každou automatickou kontrolou a přesto být navržen tak, aby návštěvníky klamal
- Používejte nástroj pro kontrolu bezpečnosti jako jeden vstup spolu s dalšími kontrolami, ne jako jediný
Co činí web skutečně bezpečným k používání
HTTPS je výchozí bod, ne cíl
Web s HTTPS a platným zámkem splnil základní technické požadavky na zabezpečené spojení. Stojí za to to ověřit, ale je to začátek kontroly, ne její konec.
HTTPS chrání data putující mezi prohlížečem a serverem. Neříká nic o tom, co web s daty dělá poté, co dorazí. Web může mít platný certifikát a přesto sbírat informace k účelům, se kterými by návštěvník nesouhlasil, kdyby o nich věděl. Úplný rozbor toho, jak HTTPS funguje a co skutečně chrání, najdete v článku co je HTTPS a jak chrání váš web.
Signály důvěry na stránce
Kromě technických kontrol to weby postavené tak, aby fungovaly řádně, obvykle ukazují tím, jak zvládají základní věci.
- Jasné informace o tom, kdo web provozuje a jak ho kontaktovat
- Zásady, které vysvětlují, jaká data se sbírají a jak se používají
- Proces placení, pokud nějaký je, který používá uznávaný způsob platby a před potvrzením transakce ukazuje, za co platíte
- Žádný nátlak: odpočítávací časovače, tvrzení, že váš účet bude zamčen, pokud nezareagujete hned, nebo varování, že vaše zařízení bylo infikováno, jsou běžné prostředky k tomu, aby návštěvníci udělali rozhodnutí v časovém tlaku a bez přemýšlení
Co certifikáty SSL dokazují a co ne
Základní certifikát SSL, který webu dává zámek a HTTPS, dokazuje jedinou věc: že ten, kdo ho nainstaloval, ovládá doménu. Neověřuje, že je firma za webem legitimní, že byl web nezávisle posouzen ani že lidé, kteří ho provozují, jsou těmi, za koho se vydávají.
Certifikáty vyšší úrovně jdou dál. Certifikát s ověřením organizace nebo rozšířeným ověřením vyžaduje, aby certifikační autorita ověřila právní identitu firmy. Weby, které tyto certifikáty používají, byly zkontrolovány nad rámec vlastnictví domény. U většiny běžných webů tato úroveň ověření není vyžadována, ale u finančních nebo státních platforem stojí za to znát rozdíl. Úplný rozbor druhů certifikátů a toho, co který dokazuje, najdete v článku co je certifikát SSL a jak funguje.
Co dělat, když web nevypadá bezpečně
- Nezadávejte žádné osobní údaje, přihlašovací údaje ani platební informace na webu, o kterém si nejste jistí. Informace nelze vzít zpět, jakmile jsou odeslány
- Zavřete kartu a přejděte přímo na web, na který jste se chtěli dostat, zadáním adresy sami, místo abyste následovali odkaz, který vás mohl poslat někam nečekaně
- Pokud jste už odeslali informace na webu, který se ukázal jako nebezpečný, okamžitě změňte heslo spojené s danou e-mailovou adresou. Pokud šlo o platební údaje, kontaktujte svou banku
- Web nahlaste, pokud vám tuto možnost prohlížeč nebo bezpečnostní nástroj nabízí. Pomůže to rychleji ho přidat na seznamy varování, což chrání další návštěvníky
- Pokud provozujete vlastní web a chcete pochopit, co vaši návštěvníci vidí, když kontrolují jeho zabezpečení, zkontrolujte, zda je HTTPS aktivní, zda je certifikát platný a nevypršel a zda na stránce není něco, co by někomu, kdo web nezná, mohlo připadat jako varovný signál
Jak WEMASY řeší bezpečnostní signály webu
Každý web vytvořený ve WEMASY běží ve výchozím stavu na HTTPS. Certifikát SSL se používá automaticky při připojení webu nebo vlastní domény. Není třeba nic nastavovat a není žádná obnova, kterou byste museli spravovat. Návštěvníci, kteří zkontrolují adresní řádek, uvidí HTTPS a zámek od prvního dne.
Přesměrování z HTTP na HTTPS jsou nastavena na úrovni platformy, takže návštěvníci vždy skončí na zabezpečené verzi webu bez ohledu na to, jak se k němu dostanou. Varování o smíšeném obsahu, která se objevují, když se stránka načítá přes HTTPS, ale některé prvky ne, nejsou problém, protože všechny zdroje poskytované přes platformu používají HTTPS všude.
Co všechno je součástí, zjistíte v tvůrci webů WEMASY, nebo si projděte možnosti tarifů na stránce s cenami.
Často kladené otázky
Jak poznám, že je web bezpečný?
Začněte adresním řádkem prohlížeče. Adresa by měla začínat HTTPS a měla by být vidět ikona zámku. Žádný zámek znamená žádný bezpečnostní certifikát a žádné šifrované spojení. Pozorně si přečtěte skutečný název domény a ověřte, že odpovídá tomu, kam jste chtěli jít. Pokud prohlížeč zobrazí varování, berte ho vážně. Na samotné stránce hledejte fungující kontaktní informace, skutečné zásady ochrany osobních údajů a žádné požadavky na informace, které se pro daný typ webu zdají nepatřičné. S tvůrcem webů WEMASY si to můžete nastavit přímo na svém webu.
Znamená HTTPS, že je web bezpečný?
HTTPS znamená, že je spojení mezi vaším prohlížečem a webem šifrované, takže informace, které odešlete, jsou zamíchané dřív, než putují dál. Neznamená to, že je web důvěryhodný ani že lidé, kteří ho provozují, jsou těmi, za koho se vydávají. Podvodný web může mít platný certifikát HTTPS stejně jako skutečný. HTTPS je nutný výchozí bod, ne samo o sobě záruka bezpečnosti. Zkontrolujte název domény, prohlédněte si obsah webu a pokud si nejste jistí, použijte nástroj pro kontrolu bezpečnosti webu.
Co je nástroj pro kontrolu bezpečnosti webu?
Nástroj pro kontrolu bezpečnosti webu je nástroj, který vyhledá adresu URL v databázích známých škodlivých nebo nahlášených webů. Vrátí výsledek, zda byl web označen pro phishing, malware, podvodnou činnost nebo jiné problémy. Čistý výsledek znamená, že web nebyl nahlášen na seznamech, které nástroj kontroluje, ale není to záruka, že je web bezpečný. Nové škodlivé weby vznikají pravidelně a na seznamy varování se dostanou až po čase. Používejte nástroj pro kontrolu bezpečnosti spolu s dalšími kontrolami, ne místo nich.
Co znamená zámek v prohlížeči?
Zámek znamená, že má web nainstalovaný platný bezpečnostní certifikát a spojení mezi vaším prohlížečem a webem je šifrované. Všechny informace, které odešlete přes formulář, jsou zamíchané dřív, než putují dál, takže je nelze přečíst, pokud je někdo zachytí. Kliknutí na zámek ukáže podrobnosti o certifikátu, včetně toho, kdo ho vydal a kdy vyprší. Žádný zámek znamená žádný certifikát a žádné šifrování. Vypršelý certifikát způsobí, že zámek zmizí, a může spustit varování v prohlížeči.
Co mám dělat, když jsem omylem odeslal informace na nebezpečném webu?
Hned jako první změňte heslo spojené s daným účtem nebo e-mailovou adresou. Pokud jste zadali platební údaje, kontaktujte svou banku a vysvětlete, co se stalo. Může kartu označit a poradit s dalšími kroky. Zkontrolujte, zda stejné heslo nepoužíváte i u jiných účtů, a pokud ano, změňte je také. Web nahlaste, pokud vám tuto možnost prohlížeč nebo bezpečnostní nástroj nabízí. V následujících týdnech sledujte všechny účty spojené s odeslanými informacemi kvůli neobvyklé aktivitě.
Může být podvodem i web s HTTPS?
Ano. Získat základní bezpečnostní certifikát je zdarma a trvá to minuty. HTTPS může přidat na web kdokoli, včetně lidí provozujících podvody. Zámek znamená, že je spojení šifrované. Neznamená, že byl web ověřen jako legitimní, že je firma za ním skutečná ani že se s vašimi informacemi bude nakládat zodpovědně. HTTPS odstraňuje jedno konkrétní riziko, ale ne všechna. Vždy zkontrolujte název domény, pozorně si přečtěte stránku a pokud něco nesedí, použijte nástroj pro kontrolu bezpečnosti webu.