Zabezpiecz nie tylko panel strony
Właściciel witryny zwykle korzysta z kilku kont: panelu strony, hostingu, rejestratora domeny i skrzynki e-mail. Każde daje inny rodzaj kontroli. Z panelu można zmieniać treści, w hostingu zarządzać plikami i ustawieniami, a u rejestratora domeny — ustawieniami domeny. Skrzynka pocztowa bywa szczególnie ważna, ponieważ trafiają na nią wiadomości służące do resetowania haseł. Nawet bardzo mocne hasło do strony nie pomoże wiele, jeśli łatwo przejąć powiązany z nią e-mail.
Na początek spisz miejsca, w których logujesz się w sprawach witryny. Uwzględnij także konta do kopii zapasowych, narzędzi używanych do publikowania treści i poczty przypisanej do administratora. Taka lista pozwala zauważyć stare konta oraz sytuacje, w których wiele usług korzysta z tego samego adresu i hasła. Nie musi zawierać samych haseł — chodzi o uporządkowanie dostępu.
Twórz długie, osobne hasło dla każdego konta
Najważniejsza zasada brzmi: nie używaj ponownie tego samego hasła. Jeśli hasło używane w jednej usłudze zostanie ujawnione, osoba niepowołana może spróbować go także w panelu strony, hostingu lub poczcie. Nie wystarczy dopisać do niego nazwy serwisu albo kolejnego numeru. Takie warianty są do siebie podobne i trudniej pamiętać, które konto wymaga zmiany.
Dobre hasło powinno być długie i trudne do odgadnięcia. Możesz pozwolić menedżerowi haseł wygenerować losowy ciąg znaków; nie musisz go wtedy zapamiętywać. Jeśli hasło trzeba wpisywać z pamięci, pomocna może być długa fraza z kilku niezwiązanych ze sobą słów, o ile dana usługa ją dopuszcza. Unikaj nazw firmy, domeny, imion i przewidywalnych schematów. Długość oraz niepowtarzalność mają większe znaczenie niż zamiana pojedynczej litery na symbol w krótkim słowie.
Przechowuj hasła w jednym chronionym miejscu
Menedżer haseł pomaga tworzyć i przechowywać osobne dane logowania. Dzięki temu nie trzeba polegać na pamięci ani trzymać listy haseł w niechronionym pliku. Wybierając sposób przechowywania, sprawdź, czy łatwo z niego korzystać na potrzebnych urządzeniach i czy umożliwia odzyskanie dostępu w sposób, który rozumiesz. Sam menedżer zabezpiecz silnym hasłem głównym, którego nie używasz nigdzie indziej.
Nie przesyłaj haseł w zwykłych wiadomościach do współpracowników i nie zapisuj ich na wspólnym koncie, do którego każdy ma pełny dostęp. Jeżeli musisz przechować informacje potrzebne do odzyskania menedżera, zrób to zgodnie z jego instrukcją i trzymaj je w bezpiecznym miejscu, innym niż urządzenie używane na co dzień. Sprawdź też, czy potrafisz skorzystać z tej metody. Plan odzyskiwania jest przydatny dopiero wtedy, gdy działa w praktyce.
Dodaj drugi składnik logowania i zadbaj o odzyskiwanie kont
Tam, gdzie to możliwe, włącz uwierzytelnianie dwuskładnikowe, zwłaszcza dla poczty, domeny, hostingu i kont administratorów strony. Po podaniu hasła usługa poprosi wtedy o dodatkowe potwierdzenie. Dostępne metody różnią się między usługami; warto wybrać taką, której będziesz w stanie używać regularnie. Drugi składnik utrudnia przejęcie konta po poznaniu hasła, ale nie zastępuje ostrożności podczas logowania.
Zapisz kody zapasowe udostępnione przy konfiguracji i przechowuj je poza codzienną skrzynką pocztową. Sprawdź także, czy adres e-mail i numer telefonu służące do odzyskiwania kont są aktualne. Przed zmianą telefonu upewnij się, jak przenieść metodę potwierdzania logowania. Utrata urządzenia lub dostępu do skrzynki nie powinna oznaczać utraty kontroli nad domeną i stroną.
Ograniczaj dostęp i reaguj na podejrzane sytuacje
Gdy nad stroną pracuje więcej osób, przydzielaj osobne konta zamiast jednego wspólnego hasła. Każdej osobie nadaj tylko uprawnienia potrzebne do jej zadań: autor treści zwykle nie musi zarządzać hostingiem ani domeną. Po zakończeniu współpracy usuń lub wyłącz niepotrzebny dostęp. Okresowy przegląd kont pomaga także znaleźć loginy założone do jednorazowych prac, o których łatwo zapomnieć.
Uważaj na wiadomości nakłaniające do pilnego zalogowania się lub podania kodu. Zamiast korzystać z odnośnika w takiej wiadomości, otwórz znany sobie adres usługi. Jeśli podejrzewasz, że hasło zostało ujawnione, zmień je w danej usłudze, sprawdź powiązane konta i aktywne sesje, a w razie potrzeby wyloguj pozostałe urządzenia. Haseł nie trzeba wymieniać według przypadkowego kalendarza; ważniejsze jest ich szybkie zmienienie po podejrzeniu przejęcia oraz niedopuszczanie do ponownego użycia.
