Verkkosivuston tietoturvan tarkistuslista: 12 tärkeää vaihetta 2026

Tietomurrot eivät ole enää vain suuryritysten ongelma. IBM:n Cost of a Data Breach 2025 -raportin mukaan keskimääräinen tietomurto maksaa nyt maailmanlaajuisesti 4,44 miljoonaa dollaria, ja Yhdysvalloissa keskiarvo nousi ennätykselliseen 10,22 miljoonaan. Samaan aikaan Verizonin Data Breach Investigations Report 2025 osoittaa, että useimmat murrot alkavat yhä perusasioista: varastetuista tunnuksista (22 % murroista), hyväksikäytetyistä haavoittuvuuksista (20 %, kasvua 34 % vuodessa) ja tietojenkalastelusta (16 %).

Hyvä uutinen: valtaosa näistä sisäänpääsyreiteistä suljetaan arkisella, hyvin dokumentoidulla hygienialla. Tämä tarkistuslista käy läpi 12 kohtaa - liikenteen salauksesta ja DNS:stä sähköpostin todennukseen ja dark webiin vuotaneisiin tietoihin - suunnilleen tärkeysjärjestyksessä. Nopeat voitot useimmat sivustot ehtivät hoitaa yhdessä iltapäivässä.

Tarkistuslista yhdellä silmäyksellä

1. Pakota HTTPS jokaiselle sivulle

Jokainen pyyntö - ei vain kirjautumissivu - pitää tarjota HTTPS:n yli. Ohjaa kaikki HTTP-liikenne pysyvällä 301-uudelleenohjauksella, päivitä sisäiset linkit ja canonical-tagit muotoon https:// ja poista sekasisältö (kuvat, skriptit tai tyylit, jotka latautuvat yhä HTTP:llä), jonka selaimet estävät yhä useammin kokonaan. Jos kävijä näkee varoituksen "Yhteytesi ei ole yksityinen", menetät hänet ennen kuin etusivusi ehtii latautua.

2. Valvo varmenteen voimassaoloa - elinkaaret lyhenevät vauhdilla

Vanhentunut varmenne kaataa sivustosi yhtä tehokkaasti kuin hyökkäys. Ja tästä tulee vaikeampaa: CA/Browser Forumin päätöksen SC-081v3 myötä TLS-varmenteiden enimmäiselinkaari lyheni 200 päivään maaliskuussa 2026, putoaa 100 päivään 2027 ja on vain 47 päivää vuonna 2029. Manuaalinen uusiminen ei ole enää kestävä suunnitelma.

Automatisoi myöntäminen ACME-asiakkaalla (Let's Encrypt tai varmentajasi työkalut) ja lisää riippumaton vanhenemisvalvonta. Varmenteen päivämäärät voit tarkistaa päätteestä:

openssl s_client -connect example.com:443 -servername example.com </dev/null | openssl x509 -noout -dates

3. Kovenna TLS-asetuksesi

Varmenteen omistaminen ei ole sama asia kuin hyvä TLS. Poista TLS 1.0 ja 1.1 kokonaan käytöstä, tue vain TLS 1.2:ta ja 1.3:a ja luovu vanhoista salausohjelmistoista. Heikko konfiguraatio kutsuu alennushyökkäyksiä ja reputtaa vaatimustenmukaisuustarkastukset. Oppaamme SSL/TLS:n A+-arvosanaan käy läpi tarkat palvelinasetukset.

4. Aseta keskeiset suojausotsakkeet

Suojausotsakkeet ovat halvin koskaan käyttöönottamasi kovennus - muutama rivi palvelinkonfiguraatiota, joka käskee selainta torjumaan kokonaisia hyökkäysluokkia:

• Strict-Transport-Security (HSTS) - pakottaa HTTPS:n toistuvilla käynneillä
• Content-Security-Policy - vahvin suojasi XSS:ää vastaan
• X-Content-Type-Options: nosniff - estää MIME-tyyppien sekaannuksen
• X-Frame-Options / frame-ancestors - torjuu clickjackingin
• Referrer-Policy ja Permissions-Policy - rajoittavat tietovuotoja ja arkaluontoisia selainominaisuuksia

Katso täydellinen suojausotsakkeiden oppaamme, jossa on valmiit nginx- ja Apache-esimerkit.

5. Todenna sähköpostisi: SPF, DKIM ja DMARC

Verkkotunnuksesi lähettää sähköpostia, vaikka sivustosi ei lähettäisi - ja hyökkääjät väärentävät sitä mielellään, jos sallit. Google ja Yahoo ovat vaatineet SPF:ää, DKIM:ää ja DMARC:ia massalähettäjiltä helmikuusta 2024, ja Microsoft toi samat vaatimukset Outlookiin toukokuussa 2025 verkkotunnuksille, jotka lähettävät yli 5 000 viestiä päivässä. Vaatimukset täyttämätön posti ohjataan roskapostiin tai hylätään kokonaan.

Julkaise SPF-tietue, allekirjoita DKIM:llä ja ota DMARC käyttöön aloittaen tilasta p=none kerätäksesi raportteja, ennen kuin kiristät asetuksiin quarantine ja reject. Vaiheittainen DMARC-oppaamme vie koko käyttöönoton läpi.

6. Lukitse DNS:si

DNS on kaiken muun tämän listan ohjaustaso. Neljä tarkistusta: ota käyttöön DNSSEC, jotta vastauksia ei voi väärentää huomaamatta; julkaise CAA-tietue, jotta vain valitsemasi varmentaja voi myöntää varmenteita verkkotunnuksellesi; kytke rekisteröijän lukitus ja MFA DNS-palveluntarjoajallasi; ja siivoa vanhentuneet aliverkkotunnukset, jotka osoittavat alas ajettuihin palveluihin - roikkuvat tietueet ovat klassinen aliverkkotunnuksen kaappauksen reitti.

7. Päivitä CMS, lisäosat ja riippuvuudet

Tunnettujen haavoittuvuuksien hyväksikäyttö oli ensimmäinen sisäänpääsyreitti 20 %:ssa vuoden 2025 DBIR:n murroista - 34 %:n hyppäys vuodessa - ja paikkaamattomat, internetiin näkyvät järjestelmät ovat ykköskohde. Jos käytät WordPressiä tai muuta CMS:ää, hyökkäyspinta on enimmäkseen lisäosia ja teemoja: ota automaattiset pienet päivitykset käyttöön, poista käyttämättömät ja tilaa säilyttämiesi komponenttien tietoturvatiedotteet.

Varastetut tunnukset, paikkaamaton ohjelmisto ja tietojenkalastelu avasivat oven yli puolessa analysoiduista murroista. Lähde: Verizon DBIR 2025.

8. Ota MFA käyttöön ja eläköitä heikot salasanat

Tunnusten väärinkäyttö on edelleen yleisin yksittäinen reitti sisään (22 % murroista). Ota monivaiheinen todennus käyttöön jokaisella tilillä, joka voi muuttaa sivustoasi: CMS-ylläpito, hosting-paneeli, verkkotunnuksen rekisteröijä, DNS-palvelu ja sähköposti. Käytä salasanojen hallintaohjelmaa ainutkertaisten salasanojen luomiseen, nimeä oletustili admin uudelleen tai poista se käytöstä, ja poista tilit henkilöiltä, jotka eivät enää tarvitse pääsyä.

9. Varmuuskopioi kuin isku tulisi huomenna

Varmuuskopiot ovat viimeinen puolustuslinjasi kiristyshaittaohjelmia vastaan ja ensimmäinen vahinkopoistoja vastaan. Noudata 3-2-1-sääntöä: kolme kopiota, kahdella eri välineellä, yksi muualla - ja pidä vähintään yksi kopio offline-tilassa tai muuttumattomana, jotta palvelimesi kaapannut hyökkääjä ei voi salata myös varmuuskopioita. Testaamaton varmuuskopio on toive, ei suunnitelma: aikatauluta palautusharjoitus vähintään neljännesvuosittain.

10. Laita eteen WAF ja pyyntörajoitukset

Hallinnoitu verkkosovelluspalomuuri (CDN:ltäsi, palveluntarjoajaltasi tai palvelusta kuten Cloudflare) suodattaa injektioyritykset, haitalliset botit ja skannerikohinan ennen kuin ne saavuttavat sovelluksesi. Lisää pyyntörajoitukset kirjautumiseen, rekisteröitymiseen ja API-päätepisteisiin hillitäksesi credential stuffingia ja väsytyshyökkäyksiä - juuri niitä hyökkäyksiä, jotka ruokkivat kohtaa 8.

11. Valvo dark webiä vuotaneiden tunnusten varalta

Tunnuksesi voivat vuotaa ilman, että sivustoosi kosketaan - kolmannen osapuolen tietomurto riittää, ja salasanojen kierrätys hoitaa loput. Seuraa, ilmestyykö verkkotunnuksesi tilejä tunnettuihin vuotoihin, ja kun näin käy, pakota salasanan vaihto ja varmista että MFA on päällä. Dark web -valvonnan oppaamme selittää, miten altistuminen syntyy ja mitä sille voi tehdä.

12. Valvo saatavuutta, suorituskykyä ja odottamattomia muutoksia

Saatavuus on osa tietoturvaa. Käytettävyys- ja suorituskykyvalvonta antaa usein varhaisimman signaalin siitä, että jokin on vialla - vanhentunut varmenne, töhritty sivu tai kryptolouhintaskripti, joka hidastaa vasteaikoja. Hälytykset odottamattomista sisältö- tai konfiguraatiomuutoksista muuttavat viikon hiljaisen murron viiden minuutin tapaukseksi.

Kuinka usein lista kannattaa käydä läpi?

Usein kysytyt kysymykset

Riittääkö HTTPS tekemään sivustostani turvallisen? Ei. HTTPS salaa liikenteen matkalla, mutta ei auta haavoittuvia lisäosia, heikkoja ylläpitosalasanoja, väärennettyä sähköpostia tai vuotaneita tunnuksia vastaan. Se on vaihe 1/12 syystä - välttämätön, mutta ei riittävä.

Mikä yksittäinen kohta tuo suurimman turvahyödyn? Kohtien 7 ja 8 yhdistelmä: tunnettujen haavoittuvuuksien paikkaus ja MFA:n pakottaminen. Yhdessä ne kattavat vuoden 2025 DBIR:n kaksi suurinta sisäänpääsyreittiä - yhteensä 42 % murroista.

Hyökätäänkö pieniin sivustoihin oikeasti? Kyllä, jatkuvasti - mutta ei henkilökohtaisesti. Automaattiset skannerit haravoivat jokaisen tavoitettavan IP:n ja verkkotunnuksen vanhentuneiden varmenteiden, vanhojen lisäosien ja avointen hallintapaneelien varalta. Botit eivät katso kävijämääriäsi ennen iskua.

Kauanko koko listan läpikäynti kestää? Kohdat 1, 2, 4 ja 8 hoituvat tyypillisesti iltapäivässä. Sähköpostin todennus ja TLS:n kovennus vievät muutaman päivän DMARC-seurantoineen. Loput ovat jatkuvia tapoja, jotka automatisoit kerran.

Tarkista kaikki tämä 60 sekunnissa

Voit tarkistaa jokaisen kohdan käsin - tai antaa skannerin tehdä ensimmäisen kierroksen. Ilmainen FortifyNet-skannaus tarkistaa SSL/TLS:n, suojausotsakkeet, DNS-asetukset, SPF/DKIM/DMARC-tietueet, dark web -altistuksen ja suorituskyvyn noin minuutissa - ja kertoo täsmälleen, mitkä tämän listan kohdat kaipaavat huomiota ensin.

Aiheeseen liittyvät oppaat

• SSL/TLS-varmenteet: täydellinen opas A+-arvosanaan
• HTTP-tietoturvaotsikot: täydellinen opas
• DMARC-käyttöönotto vaihe vaiheelta
• Dark web -seuranta: tunnista tietovuodot