Otel web sitesi güvenliği: alan adı kimde, SSL sertifikası, güncellemeler ve şifreler

Web sitesi güvenliği, otelde şunu ifade eder: alan adı ve siteyi sunucuya yönlendiren DNS kayıtları ajansın değil otelin elindedir, her yenileme tarihi bilinir, yazılım güncel tutulur, her kişiye iki adımlı girişli kendi yönetici hesabı verilir ve bir yedek en az bir kez geri yüklenerek denenmiştir.

Bir otel web ajansını değiştirir; üç ay sonra site erişilemez hâle gelir. Alan adı ajans adına kayıtlıdır ve dosyadaki yenileme kartı onlarınkidir. Hiçbir şey çalınmamıştır; sadece kimin hesabı tuttuğunu kimse kontrol etmemiştir. Bu yazı, otel web sitesi güvenliğini temelden ele alıyor: alan adı kimde, ne zaman süresi doluyor, kim nereden giriyor, yedekler gerçekten geri yükleniyor mu ve ajans değişince el değiştiren nedir.

Otelin alan adı ve DNS kayıtları kimin?#

İkisi de otelde olmalı: alan adı otel şirketi adına kayıtlı olmalı ve o adın nereyi göstereceğine karar veren DNS hesabı otelin elinde olmalıdır. Ajans, ikisini de elinde tutmadan işi yapabilir.

İki rolü ayırın. Kayıt sahibi, alan adı kayıt bilgisindeki addır ve alan adını denetler. Ödeyen, faturayı ödeyen kişidir. Bir ajans her yıl ödeyebilir ve yine sahip olmayabilir; ya da sahip olup hiçbir şey ödemeyebilir. Sahiplik kartı değil, kaydı izler.

DNS'i düz bir dille açıklayalım. DNS kayıtları, internete hangi sunucunun web sitesini sunduğunu ve hangi servisin otelin e-postasını yönettiğini söyleyen kısa girişlerdir. Bunları düzenleyebilen kişi, siteyi ve e-postayı dakikalar içinde başka bir yere taşıyabilir. Bu yüzden web sitesi ve e-posta tek bir konuşmanın konusudur: DNS'in denetimi, otelin e-postasının da denetimidir.

İşleyen düzen, yetkilendirilmiş erişimdir. Otel, kayıt kuruluşunun ve DNS'in hesaplarını tutar; ajans, ihtiyacı olan haklarla kendi kullanıcısını alır ve sözleşme bitince yazılı olarak kaldırılır. Bugün kontrol edin: alan adının herkese açık kayıt kaydına bakın ve kayıt sahibi satırını okuyun. Orada otel şirketi yerine ajans çalışanının adı yazıyorsa, bulgu budur.

Ödünleşmeyi dürüstçe kabul edin. Ajanslar çoğu zaman başlangıçta daha hızlı olduğu için otel adına kayıt yapar. Hesap ilk günden otelin adına açıldıysa bu yönetilebilir; sonradan çözmekse zahmetlidir.

E-posta tarafı için ayrıca otel e-postaları için SPF, DKIM ve DMARC rehberine bakın.

Alan adı ve SSL sertifikası ne zaman doluyor, hatırlatma kime gidiyor?#

İki tarih de otelin kendi takviminde, adı yazılı bir sorumluyla yer almalıdır; çünkü süresi dolan sertifika siteyi tarayıcı uyarısına çevirir, süresi dolan alan adıysa adı tamamen çevrimdışı bırakır.

Sertifikayı bir kez tanımlayalım. SSL sertifikası, belirli bir ad için düzenlenen ve tarayıcının kilidi gösterip bağlantıyı şifrelemesini sağlayan bir dosyadır. Bir başlangıç ve bir bitiş tarihi vardır; biri bunu kurmadıysa hiçbir şey kendiliğinden yenilenmez.

Otomatik yenileme sessizce bozulur. Dosyadaki kartın süresi dolar, hatırlatma personel değişikliğinden sonra kimsenin okumadığı bir kutuya gider ya da otomasyon bozulur ve bir ay boyunca siteye kimse bakmaz. Süresi dolan her kalem için dört alan kaydedin: ne olduğu, hesabın nerede olduğu, yenileme tarihi ve sorumlu kişi. Adı olmayan tarih, kimsenin tutmadığı tarihtir.

Otelin takvimine iki hatırlatma koyun: bir ay öncesinden ve bir hafta öncesinden, ajansın değil otelin denetlediği bir adrese. Sertifikanın hangi adları kapsadığını kontrol edin: ana site için alınan sertifika, rezervasyon alt alan adını otomatik kapsamaz; oysa paranın el değiştirdiği sayfa orasıdır. Otomatik yenilenen kısa ömürlü sertifikalar riski ortadan kaldırmaz, yalnızca yerini değiştirir: soru otomasyonun çalışıp çalışmadığına döner; bu yüzden her hafta biri siteyi açar ve kilide bakar.

Otel her satıra birer satır doldurur ve personel ya da ajans değiştiğinde tabloyu gözden geçirir.

Site yazılımı güncel mi ve güncelleme yetkisi kimde?#

Güncellemeler bir takvime bağlanmalı ve tek bir adlı kişi sorumlu olmalıdır; çünkü eski yazılım bilinen bir giriş yoludur ve çözüm genellikle kimsenin planlamadığı tek bir tıklamadır.

Sitenin nelerden oluştuğunu bilin: bir çekirdek sistem, bir tema, eklenti ya da modüller ve altlarındaki sunucu yazılımı. Her birinin kendi güncelleme yolu ve kendi sorumlusu vardır. Kullanılmayanı kaldırın: pasif bir eklenti de sunucuda duran koddur ve ona kimse bakmıyordur.

Site rezervasyon alıyorsa önce kopyada deneyin. Kopyayı güncelleyin, rezervasyon akışını baştan sona yürüyün, sonra gerçek siteyi güncelleyin. Tanıtım sitesinde sıralamanın önemi azdır; rezervasyon alan sitede önemlidir. Kısa bir değişiklik günlüğü tutun: tarih, neyin değiştiği, kimin yaptığı, sonrasında neyin kontrol edildiği. Bu, ajansla tartışmayı kayda çevirir.

Ömrü tamamlanan yazılıma dikkat edin. Üretici düzeltme yayımlamayı bıraktığında güncelleme artık mümkün değildir ve o parçayı değiştirmek tek gerçek seçenektir. Sunucu tarafını unutmayın: barındırma paneli ve veritabanı motoru da güncelleme ister; bu genellikle ajansın işidir, yani yazılı olmalıdır.

Yönetici erişimi kimde ve giriş nasıl yapılıyor?#

Her yönetici girişi tek bir adlı kişiye ait olmalı, girişte ikinci adım istemeli ve o kişi ayrıldığı gün sona ermeli.

Ortak hesaplar günlüğü işlevsiz kılar. Adı "admin" olan tek giriş varsa, bir fiyatı, bir sayfayı ya da bir yönlendirmeyi kimin değiştirdiğini kimse söyleyemez. İki adımlı girişi düz bir dille tanımlayalım: kişi önce parolasını girer, sonra telefondan ya da donanım anahtarından gelen bir kodu. Çalınan parola tek başına artık yeterli değildir.

Yalnızca web sitesini değil her kapıyı envantere alın: barındırma paneli, veritabanı, DNS, rezervasyon motoru, ödeme sağlayıcısı paneli ve ajansın kendi yönetim paneli. Ayrılanları bir süreç olarak yönetin: kimin erişimi olduğuna dair yazılı liste, her personel değişikliğinde ve her ajans sözleşmesinin sonunda kontrol edilir, kaldırma tarihlendirilir.

Parolaları otelin sahip olduğu bir parola yöneticisinde tutun; böylece erişim tek bir kişinin hafızasına ya da kaybolabilecek tek bir telefona bağlı kalmaz. En az yetki ilkesini uygulayın: içerik düzenleyen bir kişinin yazılım kurma, DNS değiştirme ya da kullanıcı ekleme hakkına ihtiyacı yoktur.

Geniş çerçeve için işletme sahibi ve genel müdür için otelde siber güvenlik kontrol listesine bakın.

Yedekler gerçekten geri yükleniyor mu?#

Bir yedek, biri onu test adresine yükleyip sitenin çalıştığını gördükten sonra sayılır; yani denemek yedeğin parçasıdır, ekstra değil.

Üç soru sorun: ne kopyalanıyor (dosyalar, veritabanı, görseller), kopya nerede duruyor (sitenin olduğu sunucuda değil) ve ajansı aramadan kim geri yükleyebiliyor. Sıklığı otelin ne kadar kayba tahammülü olduğuna göre belirleyin: canlı rezervasyon motoru olan bir site her gün değişir, tanıtım sitesi değişmez.

Geri yükleme testini düzgün yapın: geçici bir adrese yükleyin, ana sayfayı açın, rezervasyon akışını yürüyün, bir test formu gönderin, sonra test kopyasını sonradan bulunamaması için silin. Testi kaydedin: tarih, kimin yaptığı, neyin bozulduğu, ne kadar sürdüğü. Kayıt, iddiayı olguya çeviren şeydir. Ajansın yedeğini, otel bir kopya isteyip kullanılabilir biçimde alabilene kadar ajansın sayın. Kimseye muhtaç olmadan ulaşabileceğiniz bir kopya tutun; yalnızca dosyalar ve veritabanı dışa aktarımı olsa bile.

Ayrıntı için otelde veri yedekleme rehberini okuyun.

Rezervasyon motoru ve ödeme sayfaları: hangi alan adı, kimin sorumluluğu?#

Rezervasyon sayfası paranın olduğu yerdir; otelin, adres çubuğunda hangi adın yazdığını, sayfayı hangi sertifikanın kapsadığını ve sayfa bozulunca kimi arayacağını bilmesi gerekir.

İki yaygın biçim vardır: rezervasyon motoru otelin kendi adının bir alt alan adında ya da sağlayıcının alan adında. Her biçim, sertifikaya farklı bir sahip ve misafire baktığı farklı bir ad verir. Adres çubuğuna misafir gibi bakın: sertifika bir ad için düzenlenir; sağlayıcının alan adındaki rezervasyon sayfası sağlayıcının adını gösterir ve bazı misafirler kart numarasını yazmadan önce bunu fark eder.

Kart bilgilerinin nerede girildiğini bilin: genellikle otelin değil, bankanın ya da ödeme sağlayıcısının sayfasında. Otelin görevi, kart bilgilerini hiçbir zaman e-posta, sohbet ya da telefonla istememektir. Sorumluluğu sözleşmeye yazın: rezervasyon sayfasını kim izliyor, mesai dışında kimi arıyorlar, sayfa düştüğünde otele ne söyleniyor.

Ayda bir, akışın tamamını telefondan test edin; onay e-postası dahil. Çünkü tamamlanan ama hiç onaylanmayan rezervasyon, sırasını bekleyen bir şikâyettir. Beklenmedik bir yönlendirmeyi acil durum sayın: misafirleri yeni bir yere gönderen rezervasyon sayfası ya değişen bir ayardır ya da sitenin değiştirildiğine işarettir. İlgili tehdit için sahte rezervasyon mesajları ve ele geçirilen extranet hesapları yazısına bakın.

Ajans değişimi: devir teslim dosyasında neler olmalı?#

Devir teslim dosyası, tüm hesapların, tarihlerin ve parola sahiplerinin iki tarafın imzasını taşıyan yazılı listesidir ve sözleşme bittikten sonra değil, bitmeden hazırlanır.

Yalnızca web sitesini değil her hesabı kapsayın: kayıt kuruluşu, DNS, barındırma, sertifika, site yönetici kullanıcıları, veritabanı, yedek konumu ve son geri yükleme testi, rezervasyon motoru, analitik, arama konsolu, ödeme paneli ve e-posta kayıtları. Aktarımı hiçbir şey sönmeden sıralayın: önce otelin kendi hesaplarını açın, verileri taşıyın, sonra ajansın erişimini kaldırın ve her adımı tarihiyle not edin.

Devir günü tüm ortak parolaları değiştirin ve sonrasında her birini kimin tuttuğunu kaydedin. Tam bir dışa aktarım isteyin: dosyalar, veritabanı, görseller ve otelin ödediği tema ya da lisansların makbuzları. Devirden sonra siteyi aynı listeyle kontrol edin: kilit, rezervasyon akışı, formlar, onay e-postası ve sertifikanın yenileme tarihi. Dosyayı canlı tutun: personel değişince, ajans değişince ve hiçbir şey olmasa da yılda bir gözden geçirin.

Şimdi ne yapmalı#

Bugün alan adınızın herkese açık kayıt kaydını açın ve kayıt sahibi satırını okuyun. Orada şirketinizin adı yoksa, ilk düzeltme budur; çünkü sertifika, güncellemeler, girişler, geri yükleme testi ve devir dosyası, hepsi otelin hesapları elinde tuttuğunu varsayar. Bu listedeki geri kalan her şey bakımdır; mülkiyet ise bir kez kaybedildiğinde çabuk geri kazanılamayan tek parçadır.