پروتکل https آنقدر اهمیت داشت که از سال 2015 گوگل در راستای اعمال فشار بر سایتها برای امن شدن، شروع به ایندکس سایت ها با https به صورت پیشفرش نمود که البته این مورد فقط برای صفحاتی اعمال می شود که چند شرط زیر را دارا باشند:

• همه منابع سایت با https بارگذاری شوند.
• آدرسهای https با robots.txt بلاک نشده باشند.
• آدرسهای https به آدرسهای http ریدایرکت نشوند.
• صفحات دارای canonical با آدرسهای http نباشند.
• صفحات دارای متا تگ noindex نباشند.
• سرور دارای سرتیفیکیت TLS یا SSL معتبر باشد.

از ژانویه 2017 گوگل کروم همانند تصویر زیر اقدام به نمایش عبارت Not secure برای صفحات http که دارای فیلد پسورد و کردیت کارت بودند کرد.

حالا گوگل اعلام کرده است که در راستای ارتقا امنیت وب از ماه جولای سال 2018 در مرورگر گوگل کروم همانند تصویر زیر اقدام به نمایش عبارت Not secure در کنار آدرس همه صفحاتی که با http در دسترس هستند خواهد کرد.

بنابراین دیگر پروتکل http کم کم به انتهای راه خود رسیده است. اگر برای سئوی حرفه ای سایت برنامه ریزی دارید و اگر هنوز سایت شما با http در دسترس است هر چه سریعتر اقدام به تهیه و نصب سرتیفیکیت SSL کنید که هم با بی اعتمادی کاربران مواجه نشوید و هم با https شدن، سئوی سایتتان را بهبود ببخشید.

برای اینکه سایتی با پروتکل https در دسترس باشد نیاز به تهیه و نصب گواهی SSL دارد. سرتیفیکت های مختلف SSL وجود دارند که شما می توانید در راهنمای خرید گواهینامه SSL با آنها آشنا شوید تا بتوانید انتخاب هوشمندانه تری در خرید سرتیفیکیت SSL داشته باشید.

The post 5 ماه فرصت دارید تا سایت خود را https کنید appeared first on وب یوز.

واژه TLS مخفف Transport Layer Security و واژه SSL مخفف Secure Sockets Layer است. TLS در حال حاضر تا نسخه 1.3 عرضه شده است که البته TLS v1.3 همچنان در مرحله بتا است. با توجه به وجود نسخه های متفاوت گواهی های TLS و میزان امنیت متفاوت آنها و با توجه به اهمیت امنیت وب از دیدگاه گوگل، اخیرا گوگل از طریق گوگل سرچ کنسول اقدام به ارسال پیغام برای وبمسترانی نموده است که از TLS v1 استفاده می کنند. متن پیام گوگل سرچ کنسول در تصویر زیر قابل مشاهده است.

طبق گفته گوگل، به دلیل پایین بودن امنیت TLS v1، سایتهایی که از TLS v1 استفاده می کنند باید گواهی خود را هر چه سریعتر به TLS v1.2 آپگرید کنند. جهت رویت اطلاعات گواهی TLS سایت هایی که HTTPS هستند می توانید در مرورگر گوگل کروم سایت مورد نظر را باز کرده و سپس با فشردن کلید F12 وارد محیط Dev Tools کروم شوید و با توجه به تصویر زیر در تب security در قسمت Secure connection، ورژن TLS را مشاهده نمایید و همچنین جهت اطلاع از جزئیات گواهی TLS می توانید روی دکمه view certificate کلیک نمایید.

TLS نسخه 1.2 یک پروتکل قوی است و برخی از مرورگرهای خیلی قدیمی از آن پشتیبانی نمی کند. در حال حاضر کمتر از یک درصد از کاربران اینترنت از مرورگرهایی استفاده می کنند که از TLS نسخه 1.2 پشتیبانی نمی کنند. یک سئوکار باید جهت سئوی حرفه ای سایت به موارد امنیتی نیز نگاهی ویژه داشته باشد چرا که امنیت کاربران و اطلاعات برای گوگل بسیار با اهمیت است.

The post اخطار گوگل به وبمستران برای آپگرید TLS appeared first on وب یوز.

در این مقاله ما قصد داریم برخی از مواردی که احتمال آسیب پذیری سایت را افزایش می دهد بررسی کنیم.

تمپلیت ها و پلاگین های نامطمئن

همیشه تلاش کنید که قالب و پلاگین های مورد نظرتان را از منابع اصلی فروش آنها تهیه کنید و از دانلود رایگان قالب ها یا پلاگین های پولی خودداری کنید. حتی در بسیاری از موارد برخی افراد سودجو اقدام به آلوده کردن کدهای یک قالب و یا پلاگین کرده و آن را مجدد و با قیمت ارزان تر از نسخه اصلی به فروش می رسانند.

کلمه عبور

هکر ها می توانند از تکنیک های حدس زدن پسورد استفاده کنند و با سرعت زیر و با استفاده از نرم افزار اقدام به تست تعداد زیادی کلمه عبور کنند. در تکنیک های حدس زدن پسورد معمولا با استفاده از نرم افزار، تعدادی حرف و عدد و یا کاراکترهای خاص را با یکدیگر ترکیب و آن را در سایت تست می کنند. برای جلوگیری از این تکنیک، یک پسورد قوی برای قسمت های مختلف سایت مانند سرور، کنترل پنل ادمین، دیتابیس و غیره داشته باشید. منظور از پسورد قوی استفاده از پسوردی با تعداد کاراکتر بیشتر از 8 یا 10 عدد است که شامل حروف کوچک و بزرگ و اعداد و کاراکترهای خاص باشد و همچنین فاقد معنی و غیر قابل حدس زدن باشد.

یک نکته دیگر این است که از یک نام کاربری و کلمه عبور در جاهای مختلف استفاده نکنید که اگر به هر دلیلی یکی از آنها فاش شد، فرد هکر نتواند به بقیه سرویس های شما راه پیدا کند.

اهراز هویت دو مرحله ای

ضمنا توصیه می شود از سرویس های اهراز هویت دو مرحله ای یا two-factor authentication مانند سرویس Google 2-Step Verification استفاده کنید که در صورت فاش شدن کلمه عبور، هکر نتواند از سرویس های شما استفاده کند و برای لاگین کردن به گوشی موبایل شما نیز نیاز داشته باشد. سرویس های اهراز هویت دو مرحله ای در حقیقت یک لایه امنیتی اضافه هستند که برای عبور از آن باید به به عنوان مثال به گوشی موبایلتان دسترسی داشته باشید تا رمز یکبار مصرفی که برایتان ارسال شده را دریافت و جهت لاگین از آن استفاده نمایید. برخی از CMS ها راهکارها و یا پلاگین هایی را بدین منظور ارائه نموده اند.

• اهراز هویت دو مرحله ای در وردپرس
• اهراز هویت دو مرحله ای در جوملا
• اهراز هویت دو مرحله ای در دروپال

عدم بروز رسانی

یکی دیگر از از دلایل رایج نفوذپذیر بودن سایت ها در برابر حملات، آپدیت نبودن نرم افزار ها است. همیشه تلاش کنید که آخرین نسخه سیستم عامل وب سرور، نرم افزارهایی که روی سرور نصب شده، سیستم مدیریت محتوا، پلاگین ها، ماژولها و کامپوننت هایی که روی سرور نصب شده اند استفاده کنید و یا دست کم بروزرسانی های امنیتی آنها را به صورت دوره ای انجام دهید. شما می توانید از جدیدترین بروزرسانی های امنیتی سه CMS محبوب وردپرس و جوملا و دروپال از طریق لینک های زیر مطلع شوید.

• بروزرسانی های امنیتی وردپرس
• بروزرسانی های امنیتی جوملا
• بروزرسانی های امنیتی دروپال

حفره های امنیتی ناشی از سیاست گذاری

اگر شما مدیر یک سایت هستید، همیشه تلاش کنید که با سیاست گذاری صحیح باعث کاهش آسیب های احتمالی در آینده شوید. سیاست گذاری های زیر می تواند به امنیت کاربران و سایت شما کمک کند:

• اجبار کاربران برای انتخاب کلمه عبور قوی
• ندادن دسترسی در سطح مدیر به کاربرانی که به آن دسترسی نیاز ندارند.
• استفاده از HTTPS برای همه صفحات سایت.
• اجازه ندادن به آپلود فایل به کاربر مهمان
• چک کردن فایل های آپلود شده از نظر امنیتی
• غیر فعال کردن سرویس های بدون استفاده در سرور
• بررسی دوره ای لاگ های سرور

نتیجه گیری

فهمیدن اینکه سایت شما از چه قسمتی با مشکل هک مواجه شده و یا از چه روشی به آن نفوذ شده، به شما کمک می کند که بتوانید در مقابل حملات احتمالی آینده از سایتتان محافظت کنید.

اگر سایتی هک شود و یا با مشکلات امنیتی مواجه شود که گوگل قادر به تشخیص آن باشد، پیغامی مبنی بر هک شدن سایت در گوگل سرچ کنسول سایت مربوطه به وبمستر سایت ارسال می شود و پیغام this site may be hacked در صفحه نتایج جستجوی گوگل در زیر صفحات سایت مربوطه نمایش داده می شود که این امر منجر به کلیک نکردن کاربران بر روی صفحات سایت در صفحه نتایج گوگل خواهد شد که به رنکینگ سایت صدمه می رساند. پس تاکید میکنیم که به امنیت سایت از دیدگاه سئو نیز نگاه کنید و برای آن برنامه ریزی جدی داشته باشید.

The post دلایل رایج هک شدن سایت توسط اسپمرها appeared first on وب یوز.

پرسش های رایج در خرید سرتیفیکیت SSL:

ما در این مقاله قصد داریم به پرسش های رایجی که برای بیشتر وبمستران در خرید سرتیفیکیت SSL وجود دارد پاسخ دهیم.

1. کدام سرتیفیکیت SSL در رنکینگ سایت تاثیر بیشتری دارد؟
2. چه نوع گواهینامه SSL باید خریداری کنم؟
3. آیا باید از گواهینامه های رایگان استفاده کنم و یا باید سرتیفیکت را خریداری کنم؟
4. از گواهینامه SSL کدام شرکت استفاده کنم؟
5. کدام سرتیفیکت برای امن کردن sub-domain و یا تعدادی دامین به صورت همزمان بهتر است؟

انواع سرتیفکیت SSL:

سه نوع کلی گواهینامه SSL وجود دارد و شما باید با توجه به سطح امنیت مورد نیازتان یکی از آنها را انتخاب نمایید.

گواهینامه Domain-Validated SSL:

این نوع سرتیفیکیت به نام low assurance certificate یا گواهینامه با تضمین پایین یا DV SSL Certificate نیز شناخته می شود. در هنگام تهیه آن، دامنه مورد نظر به صورت اتوماتیک بررسی می شود و تاییدیه ای نیز توسط ایمیل و یا تنظیم DNS توسط وبمستر انجام می شود و مدت زمان صدور آن از چند دقیقه تا چند ساعت به طول می انجامد.

گواهینامه Organization-Validated SSL:

این نوع سرتیفیکیت به نام high assurance certificate یا گواهینامه با تضمین بالا یا OV SSL Certificate نیز شناخته می شود. در هنگام تهیه آن، مالکیت دامنه مورد نظر توسط فروشنده بررسی و اعتبارسنجی می شود و جهت اخذ آن نیاز به ارائه اطلاعات شرکت از قبیل نام شرکت و نام کشور و استان و شهر می باشد. مدت زمان صدور سرتیفیکت OV SSL از چند ساعت تا چند روز به طول می انجامد. گواهینامه OV SSL برای وب سایت بیزینس ها و شرکت ها مناسب است.

گواهینامه Extended-Validated SSL:

این نوع سرتیفیکیت به نام EV SSL Certificate نیز شناخته می شود. در هنگام تهیه آن، خریدار گواهینامه EV SSL جهت احراز مالکیت دامنه مورد نظر باید مدارک قانونی بیشتری را نسبت به گواهینامه OV SSL ارائه کند. مدت زمان صدور سرتیفیکت EV SSL از چند روز تا چند هفته به طول می انجامد. گواهینامه EV SSL برای وب سایت های e-commerce مناسب است.

از کجا گواهینامه SSL بخرم؟

شرکت های GeoTrust و digicert و Comodo و Symantec یا همان VeriSign سابق از جمله فروشندگان اصلی و معتبر گواهینامه های SSL هستند. شرکت Comodo در سال 2015 با سهم 33.6 درصدی از صدور گواهینامه های SSL، بزرگترین فروشنده سرتیفیکت SSL بود.

با توجه به تعداد مجاز domain یا sub-domain قابل استفاده با یک گواهینامه، سه نوع دیگر از گواهینامه های SSL وجود دارند:

– گواهینامه Single-name SSL:

این نوع سرتیفیکیت فقط قابل استفاده برای یک دامین است و امکان استفاده از آن برای sub-domain وجود ندارد. به عنوان مثال اگر گواهینامه Single-name SSL برای دامین www.webyooz.com خریداری شده باشد، امکان استفاده از آن برای test.webyooz.com وجود ندارد.

– گواهینامه Wildcard SSL:

از این نوع سرتیفیکیت جهت امن کردن یک دامین به همراه همه sub-domain های آن استفاده می شود. به عنوان نمونه اگر سرتیفیکیت Wildcard SSL برای دامین www.example.com خریداری شده باشد، امکان استفاده از آن برای blog.example.com و news.example.com وجود دارد.

– گواهینامه Multi-domain SSL:

با استفاده از سرتیفیکیت Multi-domain SSL امکان استفاده از یک گواهینامه برای تعداد 210 دامین وجود دارد. البته برخی از شرکتهای ارائه دهنده گواهینامه اجازه استفاده از یک گواهینامه Multi-domain برای تعداد بیشتری دامین را می دهند.

گواهینامه SSL رایگان:

برخی از شرکتها گواهینامه SSL را به صورت رایگان ارائه می کنند ولی استفاده از آنها ممکن است منجر به نمایش پیغام معتبر نبودن سرتیفیکت توسط بیشتر مرورگرهای اینترنت گردد. البته در بین سرتیفیکیت های رایگان، استفاده از سرویس Let’s Encrypt ایرادی ندارد. شما می توانید Let’s Encrypt را بر روی سرور نصب کنید و برای دامین ها و سابدامینهایتان سرتیفیکیت SSL رایگان سه ماهه ایجاد کنید که به صورت اتوماتیک هر 3 ماه یک بار به مدت 3 ماه دیگر تمدید خواهد شد.

The post راهنمای جامع خرید گواهینامه SSL appeared first on وب یوز.

هدف اصلی استفاده از روش encoding، مخفی کردن و همچنین کاهش سایز کد مانند یک webshell است. به عنوان مثال با استفاده از ترکیب base64_decode() و فانکشن های PHP مانند strrev() شما می توانید یک کد ساده PHP را به جمله ای شبیه نمونه زیر تبدیل کنید:

base64_decode(strrev("=02bj5iev9WWiV2Vuc3d3BibvByclx2YpRnchBSZy9WbgcmbpRWYlJHI59mauVEIucmbpJHdzBSZoRHIkVGZvNWZkBSesxWdmN3clN2Y1NHIlZXYoBSdvlFIhMHdhJ3Zu92Q"));

با استفاده از ابزارهایی مانند سایت DDcode و Tools4noobs می توانید کدهای PHP رمزنگاری شده مانند نمونه بالا را را رمزگشایی کنید.

کمپین #NoHacked:

گوگل از سال 2014 با راه اندازی کمپین #NoHacked اقدام به اطلاع رسانی در مورد امنیت وب نمود و همواره اطلاعاتی را در این راستا در شبکه های اجتماعی منتشر می کند. ما در این مقاله و نوشته های دیگر، تحت عنوان “امنیت وب” تعدادی از مقالات منتشر شده توسط گوگل را ترجمه، گردآوری و بازنویسی کرده ایم که امیدواریم برای شما مفید واقع شود.

The post کدهای رمزگذاری شده و نامفهوم در سایت appeared first on وب یوز.

هنگامی که هکرها به سایتی نفوذ می کنند ممکن است با اعمال تغییراتی در فایل تنظیمات وب سرور بر کارکرد سایت تاثیر بگذارند. یکی از اهداف هکرها هدایت کاربرانی که از موتورهای جستجو وارد سایت می شوند و یا هدایت ربات های موتورهای جستجو به صفحات اسپمی و به غیر از سایت اصلی است. این نوع ریدایرکت، Cloaking نام دارد و نقض دستور العمل های ضروری گوگل است.

هکرها معمولا فایل تنظیمات را به گونه ای تغییر میدهند که افرادی که مستقیم وارد سایت می شوند، به صورت نرمال می توانند از سایت استفاده کنند ولی کاربرانی که از طریق موتور جستجو روی لینک سایت شما کلیک میکنند به صفحه دیگری که هکر آن را طراحی کرده ریدایرکت می شوند. همچنین هکر میتواند تنظیمات را به گونه ای انجام دهد که اگر فردی به صورت مستقیم قصد داشته باشد وارد صفحه اسپمی طراحی شده توسط هکر شود، با صفحه 404 مواجه شود. در حقیقت صفحه اسپمی مورد هدف هکر فقط از طریق موتور جستجو و با کلیک کردن بر روی لینک صفحات سایت شما در صفحه نتایج موتور جستجو قابل دسترس خواهد بود.

نمونه زیر یکی از تغییرات رایج در فایل htaccess می باشد:

RewriteEngine On
 RewriteCond %{HTTP_USER_AGENT} (google|yahoo|bing) [OR]
 RewriteCond %{HTTP_REFERER} (google|yahoo|bing)
 RewriteRule ^(.*)$ example.php?$1 [L]

در نمونه بالا، کاربری که از طریق موتورهای جستجوی معروف مانند گوگل، یاهو و بینگ وارد سایت شما شود به صفحه example.php هدایت خواهد شد و از طریق آن فایل PHP ممکن است هر محتوای اسپمی به کاربر نمایش داده شود.

The post تنظیمات امنیتی سایت و سرور appeared first on وب یوز.

بروز نگاه داشتن سیستم مدیریت محتوا یا CMS:

اگر شما از سیستمهای مدیریت محتوا مانند جوملا، وردپرس، دروپال، مجنتو یا ووکامرس استفاده می کنید، ساده ترین راه برای امن نگاه داشتن سایت این است که CMS مورد استفاده تان را آپدیت نگاه دارید. هیچ موقع برای آپدیت کردن، زمان را از دست ندهید و در اسرع وقت سیستم مدیریت محتوایتان را بروز کنید. تولیدکنندگان CMS معمولا در سایت هایشان در مورد موارد امنیتی اطلاع رسانی می کنند و این امکان هست که در قسمت security announcements مشترک شد. سعی کنید همیشه از در جریان اطلاعیه های امنیتی توسط تولیدکنندگام CMS قرار بگیرید و اقدامات لازم را انجام دهید.

منابع زیر در مورد موارد امنیتی رایج در بین تعدادی از CMS ها و پلتفورم های e-commerce است:

وردپرس ← https://goo.gl/5c0SYf

جوملا ← https://goo.gl/B3HoxV

دروپال ← https://goo.gl/XQaaFz

ووکامرس ← https://goo.gl/tvA7HO

به این نکته توجه داشته باشید که امنیت سایت از نظر سئو نیز اهمیت دارد و در برخی موارد هکرها با هدف آسیب رساندن به موقعیت یک سایت در موتورهای جستجو به یک سایت نفوذ کرده و از نظر SEO به آن صدمه می رسانند.

The post امنیت سیستم مدیریت محتوا appeared first on وب یوز.

گوگل سرچ کنسول و امنیت وب سایت:

سرویس گوگل سرچ کنسول یک ابزار برای سئوکاران، وبمستران و دارنگان وب سایت ها است که توسط آن می توان از برخی ایرادات سایت از دیدگاه سئو مطلع شد و با توجه به آمار و اطلاعاتی که گوگل از این طریق به وبمستران می دهد، امکان بهینه سازی سایت برای موتورهای جستجو وجود دارد. اگر هنوز سایت خود را در Google Search Console اضافه نکرده اید، همین الان این کار را انجام دهید. ضمنا می توانید از مقاله آموزش اضافه کردن سایت در گوگل سرچ کنسول بهره ببرید.

یکی از کاربردهای گوگل سرچ کنسول در زمینه امنیت این است که هنگامی که گوگل تشخیص دهد که سایتی هک شده است و یا دچار مشکلات امنیتی از نظیر فیشینگ، URL injection و موارد مشابه شده، به وبمستر با ذکر مشکل بوجود آمده، اطلاع رسانی میکند و وبمستر نیز می تواند پس از برطرف کردن مشکلات بوجود آمده، درخواستی به نام reconsideration request برای گوگل ارسال کند تا گوگل مجدد سایت وی را بررسی کند و در صورت تایید برطرف شدن مشکل توسط گوگل، وضعیت سایت از نظر رنکینگ در موتور جستجو به حالت قبل باز گردد.

کمپین جهانی NoHacked برای آگاهی رسانی در مورد امنیت وب:

در ماه جون سال 2014، گوگل کمپین جهانی NoHacked را در شبکه های اجتماعی با هدف افزایش آگاهی وبمستران و مالکان سایت ها در مورد امنیت وب راه اندازی کرد و هر ساله مطالبی را تحت عنوان #NoHacked منتشر میکند. شما می توانید با جستجوی #NoHacked مطالب مفیدی را در این ارتباط پیدا کنید.

The post امنیت سایت از دیدگاه سئوی حرفه ای appeared first on وب یوز.