Verkkosivuston tietoturva-auditointi: täydellinen opas 2026

Verkkosivuston tietoturva-auditointi on jäsennelty tarkastus kaikesta, mitä hyökkääjä näkee ja tavoittaa organisaatiosi ulkopuolelta: TLS-varmenteesi ja sen salausasetukset, DNS-tietueesi, sähköpostin todennuksesi (SPF, DKIM ja DMARC), HTTP-suojausotsakkeesi, vastauksissa vuotavat ohjelmistoversiot sekä kaikki yrityksesi tunnukset, jotka liikkuvat jo pimeässä verkossa. Hyvä auditointi päättyy priorisoituun havaintolistaan, jossa jokaisella kohdalla on vastuuhenkilö ja konkreettinen korjaus. Ulkoapäin näkyvän kerroksen skannaus vie noin kuusikymmentä sekuntia. Koko harjoitus kunnolla tehtynä vie yhden iltapäivän.

Tämä opas käy läpi, mitä auditointi todella testaa, mitkä neljä syvyystasoa on tarjolla, kahdeksanvaiheisen prosessin jonka voit toteuttaa tällä viikolla, ja kuinka usein se kannattaa toistaa.

Miksi vuoden 2026 uhkakuva muutti laskelmat

Verizonin Data Breach Investigations Report 2026, joka julkaistiin 19. toukokuuta 2026 ja perustuu yli 31 000 tietoturvapoikkeamaan ja yli 22 000 vahvistettuun tietomurtoon 145 maassa, havaitsi että haavoittuvuuksien hyväksikäyttö oli ensimmäinen hyökkäysvektori 31 prosentissa murroista. Tämä on ensimmäinen kerta raportin yhdeksäntoista julkaisukerran aikana, kun se ohittaa varastetut tunnukset, joiden osuus laski 13 prosenttiin.

Kaksi tukilukua samasta raportista selittää, miksi harvoin tehtävä auditointi käy nyt kalliiksi. Vain 26 prosenttia CISAn Known Exploited Vulnerabilities -luettelon kriittisistä haavoittuvuuksista korjattiin kokonaan vuoden 2025 aikana, kun edellisvuonna osuus oli 38 prosenttia. Ja haavoittuvuuden täydellisen korjaamisen mediaaniaika nousi 43 päivään. Hyökkääjät liikkuvat nopeammin ja puolustajat hitaammin, joten auditointien väliin jättämäsi aukko on täsmälleen se aukko, jossa hyökkääjät työskentelevät.

Myös varmenteiden puolella tapahtui muutos. CA/Browser Forumin äänestyksessä SC-081v3, joka hyväksyttiin huhtikuussa 2025 äänin 29 puolesta ja 0 vastaan, julkisesti luotetun TLS-varmenteen enimmäisvoimassaoloaika laski 398 päivästä 200 päivään 15. maaliskuuta 2026. Se laskee 100 päivään 15. maaliskuuta 2027 ja 47 päivään 15. maaliskuuta 2029. Verkkotunnuksen vahvistuksen uudelleenkäyttöajat lyhenevät samoina päivinä. Jokainen uusimisprosessi, joka nojaa yhä siihen että ihminen muistaa kalenterimerkinnän, epäonnistuu tämän jakson aikana. Siksi varmenteen vanheneminen on pysyvä auditointikohde eikä vuosittainen.

Mitä verkkosivuston tietoturva-auditointi todella tarkastaa

Neljä ensimmäistä riviä ovat ne, jotka ulkoinen skanneri pystyy arvioimaan ilman minkäänlaista pääsyä järjestelmiisi. Juuri siksi ne ovat nopein aloituskohta ja yleensä paikka, jossa ensimmäiset todelliset havainnot ilmenevät.

Kannattaa huomata, että taulukon rivit eivät ole samanarvoisia riskiltään. Vanhentunut varmenne kaataa koko sivuston kerralla ja on siksi näkyvin vika, mutta se on myös nopein korjata. Puuttuva DMARC-käytäntö ei näy kävijälle lainkaan, vaikka se antaa kenelle tahansa mahdollisuuden lähettää sähköpostia verkkotunnuksesi nimissä. Orpo DNS-tietue taas on näistä hiljaisin: se ei riko mitään ennen kuin joku rekisteröi hylätyn palvelun ja saa haltuunsa aliverkkotunnuksen, jolla on brändisi uskottavuus. Auditoinnin arvo syntyy juuri siitä, että se nostaa esiin myös ne kaksi jälkimmäistä, joita kukaan ei huomaa raportoida.

Mitä auditoinneista useimmin puuttuu

HTTP Archiven Web Almanac 2025, joka analysoi miljoonia oikeita verkkosivustoja, mittasi kuinka moni sivusto tosiasiassa asettaa kunkin suojaavan HTTP-otsakkeen. Vastaus on lohduton: laajimmin käytössä oleva suojausotsake löytyy noin puolelta sivustoista ja Content Security Policy vain vajaalta viidennekseltä.

Keskeisten HTTP-suojausotsakkeiden käyttö mobiilisivuilla. Lähde: HTTP Archive Web Almanac 2025, tietoturvaluku. X-Content-Type-Options- ja X-Frame-Options-luvut ovat likiarvoja sellaisina kuin ne on julkaistu.

Strict-Transport-Security ylsi vuonna 2025 36 prosenttiin sivuista, mikä on kuusi prosenttiyksikköä enemmän kuin 2024 ja vuoden voimakkain nousu. Content Security Policy kasvoi 18,5 prosentista 21,9 prosenttiin. Uudemmat suojaukset kuten Permissions-Policy ja Cross-Origin-Opener-Policy jäävät yhä alle 10 prosentin. Jopa niistä sivustoista, jotka CSP:tä käyttävät, 92 prosenttia sallii yhä unsafe-inline-arvon script-src-direktiivissä ja 77 prosenttia sallii unsafe-eval-arvon, mikä poistaa suurimman osan otsakkeen tarjoamasta suojasta. Otsakkeen käyttöönotto ei ole sama asia kuin sen hyvä määrittäminen, ja kunnollinen auditointi tarkastaa arvon eikä pelkkää olemassaoloa.

Siirtotien salaus on selvästi paremmassa kunnossa. TLS 1.3 kantaa nyt noin 76 prosenttia sivulatauksista, TLS 1.2 on laskenut 13 ja 15 prosentin välille, ja HTTPS-käyttöaste ylittää 95 prosenttia jokaisessa Almanacin mittaamassa maassa Japania lukuun ottamatta. Jos auditointisi löytää yhä käytöstä TLS 1.0:n tai 1.1:n, kuulut pieneen ja huomiota herättävään vähemmistöön.

Sähköpostin todennus on edelleen kaikista suurin aukko. DMARCguardin State of Email Authentication 2026, 27. helmikuuta 2026 valmistunut skannaus 5 499 028 Tranco-listatusta verkkotunnuksesta, löysi SPF:n 56,0 prosentilta verkkotunnuksista, DMARCin 30,4 prosentilta ja DKIMin vain 22,7 prosentilta.

Auditoinnin neljä tasoa ja milloin kukin kannattaa

Useimpien organisaatioiden kannattaa pitää ensimmäistä riviä jatkuvasti päällä olevana ja valita riskin perusteella yksi kolmesta muusta vuodessa. Tunkeutumistestin tilaaminen sivustolle, joka ei läpäise vielä automaattista skannausta, menee hukkaan, koska testaaja käyttää toimeksiannon raportoiden havaintoja jotka ilmainen työkalu olisi löytänyt minuutissa.

Näin teet tietoturva-auditoinnin kahdeksassa vaiheessa

1. Inventoi mitä omistat. Listaa jokainen verkkotunnus, aliverkkotunnus ja kolmannen osapuolen palvelu, joka näkyy brändisi alla. Auditoinnit epäonnistuvat useimmiten siksi, että haavoittuva palvelin oli sellainen, jonka omistamista kukaan ei muistanut.
2. Aja ensin ulkoinen skannaus. Hanki kuva ulkoa sisäänpäin ennen kuin käytät kenenkään aikaa. Näin tiedät, mitkä yllä olevista seitsemästä kerroksesta jo pettävät.
3. Tarkista varmenteet ja uusimisen automaatio. Tarkasta vanheneminen, ketju ja isäntänimien kattavuus, ja varmista sitten että uusiminen on automatisoitu. Nyt voimassa olevan 200 päivän rajan kanssa manuaalinen uusiminen on aikataulutettu käyttökatko.
4. Etsi orvot DNS-tietueet. Jokainen CNAME, joka osoittaa palveluun jota et enää käytä, on aliverkkotunnuksen kaappaus odottamassa tapahtumistaan. Poista vanhentuneet tietueet sen sijaan että jättäisit ne paikoilleen.
5. Vahvista sähköpostin todennus päästä päähän. Varmista että SPF-tietueesi pysyy kymmenen DNS-haun budjetissa, että DKIM allekirjoittaa kaikki lähettävät lähteet, ja että DMARCissa on p=none-käytäntöä vahvempi asetus ja toimiva raportointiosoite.
6. Tarkista otsakkeiden arvot, älä pelkkää olemassaoloa. unsafe-inline-arvoja täynnä oleva CSP ja HSTS jonka max-age on 300 sekuntia läpäisevät molemmat naiivin tarkistuslistan eivätkä suojaa ketään.
7. Paikkaa hyödynnettävyyden mukaan, älä pelkän CVSS-pisteen perusteella. Kaikki CISAn Known Exploited Vulnerabilities -luettelossa oleva, joka koskee pinoasi, menee ensin.
8. Kirjaa havainnot ylös vastuuhenkilön ja päivämäärän kanssa. Auditointi joka päättyy keskusteluun eikä tikettiin ei ole tapahtunut.

Havaintojesi yhdistäminen OWASP Top 10:2025 -listaan

OWASP julkaisi Top 10 -listansa vuoden 2025 laitoksen tammikuussa 2026 esiteltyään sen Global AppSec -tapahtumassa Washington DC:ssä marraskuussa 2025. Kaksi luokkaa on uusia, ja molemmat ovat olennaisia sen kannalta mitä auditoinnin tulisi nyt kattaa.

Tietoturvan virheellisen määrityksen nousu toiselle sijalle on tässä yksittäisenä hyödyllisin signaali auditointia suunnittelevalle. Se on luokka jonka ulkoinen skannaus kattaa täydellisimmin, ja samalla luokka joka useimmin jää sen vastuulle joka pystytti palvelimen vuosia sitten.

Kuinka usein auditointi kannattaa tehdä?

Jatkuvasti kaikelle automatisoitavalle, neljännesvuosittain kaikelle harkintaa vaativalle, ja välittömästi minkä tahansa seuraavan tapahtuman jälkeen: alusta- tai palvelinsiirto, sähköpostipalvelun vaihto, uusi aliverkkotunnus tuotantoon, riippuvuuden pääversion nosto, tai hallintaoikeudet omanneen henkilön lähtö. Verizonin luku siitä että kolmannet osapuolet esiintyvät nyt 48 prosentissa murroista, 60 prosentin kasvu vuodessa, tarkoittaa että toimittajan vaihto ansaitsee saman käsittelyn kuin muutos omassa ympäristössä.

Usein kysytyt kysymykset

Kuinka kauan verkkosivuston tietoturva-auditointi kestää? Automaattinen ulkoinen skannaus varmenteista, DNS:stä, sähköpostin todennuksesta, otsakkeista ja paljastumisesta valmistuu noin minuutissa. Havaintojen huolellinen sisäinen läpikäynti korjauksineen vie pienellä sivustolla tyypillisesti puoli päivää.

Tarvitsenko tunkeutumistestin vai riittääkö skannaus? Skannaus on oikea ja riittävä lähtökohta jokaiselle sivustolle ja ainoa järkevä jatkuvasti ajettava toimenpide. Tunkeutumistesti tuo lisäarvoa kun automaattiset havaintosi ovat puhtaat ja sinulla on kirjautumisen takaista toiminnallisuutta, maksuja tai henkilötietoja joita kannattaa hyökätä vastaan.

Voiko auditoinnin tehdä ilman pääsyä palvelimelleni? Suurimman osan arvokkaimmista tarkastuksista voi. TLS-määritykset, varmenteen voimassaolo, DNS-hygienia, SPF, DKIM, DMARC, suojausotsakkeet ja pimeän verkon paljastumat ovat kaikki arvioitavissa julkisesta internetistä. Koodikatselmus ja todennettu testaus ovat ne osat jotka vaativat pääsyn.

Mikä pitää korjata ensimmäisenä auditoinnin jälkeen? Kaikki CISAn Known Exploited Vulnerabilities -luettelossa oleva, sitten vanheneva tai väärin määritetty varmenne, sitten p=none-tason DMARC-käytäntö. Nämä kolme muodostavat suhteettoman suuren osuuden todellisista murroista verrattuna siihen kuinka vähän niiden korjaaminen vaatii työtä.

Aloita kuudenkymmenen sekunnin versiosta

Et voi korjata sitä mitä et ole mitannut, ja tietoturva-auditoinnin ulkoapäin näkyvän kerroksen mittaaminen on ilmaista. FortifyNetin skanneri tarkastaa SSL- ja TLS-määrityksesi, DNS-tietueesi, SPF:n, DKIMin ja DMARCin, HTTP-suojausotsakkeet, pimeän verkon paljastumat ja suorituskyvyn noin kuudessakymmenessä sekunnissa, ja palauttaa priorisoidun listan raakadatan seinän sijaan. Aja se verkkotunnuksellesi, korjaa mitä se löytää, ja päätä sen jälkeen tarvitsetko syvempiä tasoja.

Aiheeseen liittyvät oppaat

• Verkkosivuston tietoturvan tarkistuslista
• Verkkosivuston haavoittuvuusskanneri
• Opas HTTP-suojausotsakkeisiin
• SSL- ja TLS-varmenteiden tietoturva