התחברות ואימות

רוב הפריצות מתחילות בהתחברות

בעסק קטן, הדרך הנפוצה ביותר להיכנס למערכות היא לא פרצה מתוחכמת בקוד, אלא סיסמה חלשה, סיסמה שדלפה ממקום אחר, או משתמש ישן שאף אחד לא מחק. לכן ההגנה על ההתחברות — לאתר, למייל ולכלים של העסק — היא אחד הצעדים המשתלמים ביותר באבטחה.

העמוד הזה מרכז את המאמרים על התחברות ואימות: גם מהצד של בעל האתר שמגן על ממשק הניהול, וגם מהצד של אתר שבו לקוחות נרשמים ומתחברים.

הבסיס: סיסמה ואימות דו-שלבי

סיסמה חזקה ואימות דו-שלבי מסביר מה ההנחיות העדכניות אומרות — ולמה כללים כמו "חובה תו מיוחד" והחלפה תקופתית כבר לא נחשבים להמלצה. אבטחת מידע לעסק קטן מרחיב את התמונה: מנהל סיסמאות, המייל העסקי כמפתח שדרכו משחזרים את כל השאר, ומה עושים כשעובד עוזב.

בלי סיסמה בכלל

• Passkey — התחברות עם המכשיר ועם טביעת אצבע או זיהוי פנים, בלי סיסמה שאפשר לגנוב בדף מתחזה.
• SSO והתחברות עם גוגל — כשהאתר לא מקבל ולא שומר סיסמה, ומתי זה מתאים לאזור לקוחות.

וורדפרס: מי נכנס ומה מותר לו

הגנה על דף ההתחברות של וורדפרס עוסק בהגבלת ניסיונות, אימות דו-שלבי ו-XML-RPC. הרשאות משתמשים בוורדפרס מסביר את עקרון ההרשאה המינימלית: כותב לא צריך להיות מנהל, וספק שסיים עבודה לא צריך להישאר עם גישה. להגנות נוספות ראו אבטחת וורדפרס.

מה אני בודק באתרים שאני מתחזק

• אין משתמש מנהל משותף — לכל אדם משתמש משלו.
• אימות דו-שלבי לכל מי שיש לו הרשאות ניהול.
• משתמשים ישנים וספקים לשעבר — מוסרים.
• הגבלת ניסיונות התחברות, ברמת האתר או ברמת Cloudflare.

ההתחברות היא שכבה אחת. היא עובדת יחד עם גיבוי ושחזור — כי גם הגנה טובה לא מבטיחה שלא יקרה כלום.

כשהאתר מנהל חשבונות של לקוחות

באתר עם אזור לקוחות, חנות או מערכת הרשמה, ההחלטות עוברות לצד של המשתמשים: לאפשר סיסמאות ארוכות ומנהלי סיסמאות, לבדוק סיסמאות חדשות מול רשימות של סיסמאות שדלפו, להגביל ניסיונות התחברות, ולהציע אימות דו-שלבי או Passkey. כדאי גם לשקול אם בכלל צריך לשמור סיסמאות — לפעמים התחברות דרך גוגל או קישור חד-פעמי במייל פשוטים ובטוחים יותר, גם לעסק וגם ללקוח. ככל שהאתר שומר פחות מידע רגיש, יש פחות מה לאבד.

רוצים לבדוק מי מחזיק גישה לאתר שלכם ואיך היא מוגנת? ראו תחזוקת אתרים, או ספרו לי על האתר.