Zastanawiasz się, jak sprawdzić, czy strona jest bezpieczna? Zacznij od połączenia HTTPS, certyfikatu i dokładnego adresu domeny. Następnie sprawdź dane firmy oraz przeskanuj adres za pomocą Google Safe Browsing, VirusTotal albo Listy Ostrzeżeń CERT Polska.
Żaden pojedynczy test nie daje pełnej pewności. Kilka zgodnych sygnałów pozwala jednak szybko ocenić, czy możesz bezpiecznie zalogować się, zrobić zakupy lub podać swoje dane.
Jak sprawdzić, czy strona jest bezpieczna – od czego zacząć
Najpierw spójrz na pasek adresu przeglądarki. Sprawdź protokół HTTPS, prawidłową nazwę domeny oraz komunikaty wyświetlane obok adresu.
W wielu przeglądarkach zobaczysz kłódkę albo ikonę ustawień połączenia. Kliknij ją i odczytaj komunikat. Powinien potwierdzać, że połączenie jest bezpieczne lub szyfrowane. Ostrzeżenia „Niezabezpieczona”, „Połączenie nie jest prywatne” albo „Ta witryna może być niebezpieczna” wymagają przerwania wizyty.
Następnie przeczytaj adres od początku do końca. Przy logowaniu do banku, poczty, sklepu lub panelu klienta najlepiej wpisać znany adres ręcznie albo skorzystać z zapisanej zakładki. Link otrzymany w SMS-ie czy wiadomości może prowadzić do strony, która wygląda znajomo, lecz działa pod inną domeną.
Zwróć uwagę także na zachowanie witryny. Nagłe przekierowania, automatyczne pobieranie plików, prośba o włączenie powiadomień oraz formularz żądający danych niepotrzebnych do wykonania danej czynności są sygnałami ostrzegawczymi. Sklep potrzebuje adresu do wysyłki. Strona z informacją o przesyłce nie powinna prosić o hasło do bankowości internetowej.
Jeśli masz wątpliwości, nie wpisuj danych i nie pobieraj pliku. Zamknij kartę, a stronę sprawdź za pomocą niezależnego narzędzia.
Certyfikat SSL i kłódka – co naprawdę oznaczają
Certyfikat SSL umożliwia szyfrowanie połączenia między Twoją przeglądarką a serwerem strony. Rozpoznasz je po adresie zaczynającym się od https:// oraz informacji o bezpiecznym połączeniu.
Szyfrowanie ogranicza ryzyko przechwycenia przesyłanych danych. Ma znaczenie podczas logowania, płatności, wysyłania formularzy i korzystania z publicznej sieci Wi-Fi.
HTTPS nie potwierdza jednak uczciwości właściciela strony. Oszuści również mogą uzyskać certyfikat i uruchomić stronę phishingową pod adresem z kłódką. Certyfikat mówi o ochronie połączenia z konkretną domeną. Ocenę samej domeny trzeba wykonać osobno.
Aby sprawdzić połączenie, kliknij ikonę po lewej stronie adresu. Nazwy opcji zależą od przeglądarki, lecz zwykle znajdziesz tam informacje o stanie połączenia i certyfikacie. Zwróć uwagę na trzy elementy:
- certyfikat powinien być ważny;
- musi obejmować domenę widoczną w pasku adresu;
- przeglądarka powinna ufać jego wystawcy.
Wygasły certyfikat, niezgodna nazwa domeny lub problem z jego wystawcą uruchamiają pełnoekranowe ostrzeżenie. Nie omijaj go przy logowaniu, płatności ani przekazywaniu danych osobowych. Komunikat może wynikać z błędu konfiguracji strony, lecz jako użytkownik nie masz podstaw, aby bezpiecznie rozstrzygnąć jego przyczynę.
Adres URL pod lupą – literówki i podszywanie się
Przeczytaj właściwą domenę, szczególnie fragment znajdujący się bezpośrednio przed końcówką .pl, .com lub .eu. Oszuści korzystają z literówek, podobnych znaków i dodatkowych członów, aby ich adres wyglądał znajomo.
Domena bank.pl różni się od bank-logowanie.pl. Adres bank.pl.podejrzana-domena.com należy do właściciela podejrzana-domena.com. Początek może zawierać dowolną nazwę i sam w sobie nie potwierdza związku z bankiem.
Sprawdź również:
- zamianę liter, na przykład m na rn albo o na 0;
- brakujący lub dodany znak w nazwie marki;
- końcówkę domeny inną niż ta używana przez firmę;
- ciąg przypadkowych liter, cyfr albo znaków;
- adres rozpoczynający się od xn--, który może oznaczać domenę zapisaną przy użyciu znaków spoza podstawowego alfabetu;
- skrócony link, który ukrywa adres strony docelowej.
Nietypowa końcówka domeny sama nie przesądza o oszustwie. Liczy się cały zestaw sygnałów: zgodność nazwy, kontekst wiadomości, zawartość strony i wynik skanowania.
Na komputerze możesz najechać kursorem na link bez klikania. Docelowy adres pojawi się zwykle w dolnej części okna. Na telefonie przytrzymaj link, aby wyświetlić jego podgląd. Jeśli wiadomość rzekomo pochodzi od firmy kurierskiej, banku lub urzędu, otwórz ich oficjalną aplikację albo samodzielnie wpisz znany adres.
Dane kontaktowe, polityka prywatności i inne sygnały wiarygodności
Sprawdź, kto prowadzi stronę i czy możesz potwierdzić jego dane poza witryną. Im większa odpowiedzialność związana z zakupem, płatnością lub przekazaniem danych, tym dokładniejsza powinna być weryfikacja.
Na stronie firmy poszukaj jej pełnej nazwy, adresu, numeru telefonu, adresu e-mail oraz danych rejestrowych. W sklepie internetowym sprawdź także regulamin, zasady płatności, dostawy, zwrotów i reklamacji. Dane przedsiębiorcy możesz porównać z informacjami w CEIDG albo KRS.
Sam formularz kontaktowy daje niewiele możliwości weryfikacji. Podejrzenia powinny wzbudzić dane skopiowane z innej strony, niedziałający numer telefonu, adres e-mail w przypadkowej domenie oraz brak informacji o sprzedawcy.
Przeczytaj politykę prywatności, zwłaszcza gdy strona zbiera dane przez formularz. Dokument powinien wskazywać administratora danych, cel ich przetwarzania i sposób kontaktu. Ogólny tekst bez nazwy firmy może pochodzić z gotowego wzoru, który nie został dopasowany do rzeczywistej działalności.
Przyjrzyj się również sposobowi działania strony. Liczne błędy językowe, niespójne nazwy marki, fałszywy licznik kończącej się promocji i nacisk na natychmiastową płatność zwiększają ryzyko. Szczególną ostrożność zachowaj przy przelewach na rachunek podany w wiadomości, płatnościach kryptowalutą oraz prośbach o instalację programu do zdalnej obsługi komputera.
Opinie w internecie mogą pomóc, lecz łatwo je kupić lub skopiować. Sprawdź kilka niezależnych źródeł, daty publikacji oraz treść komentarzy. Seria bardzo podobnych opinii dodanych w krótkim czasie ma niewielką wartość.
Darmowe narzędzia do sprawdzenia bezpieczeństwa strony
Adres możesz sprawdzić w Google Safe Browsing, VirusTotal oraz na Liście Ostrzeżeń CERT Polska. Wynik potraktuj jako dodatkową warstwę oceny, ponieważ nowa szkodliwa domena może jeszcze nie występować w bazach.
W Raporcie przejrzystości Google (EN) znajdź sekcję Google Safe Browsing i wklej pełny adres strony. Narzędzie pokaże, czy Google oznaczyło witrynę jako niebezpieczną. Takie oznaczenie może dotyczyć phishingu, złośliwego oprogramowania lub strony przejętej przez osoby trzecie.
VirusTotal (EN) pozwala sprawdzić adres za pomocą wielu silników bezpieczeństwa i list blokujących. Wybierz analizę URL, wklej pełny adres wraz z https:// i uruchom skanowanie. Zwróć uwagę na liczbę wykryć, nazwy zagrożeń oraz datę ostatniej analizy. Pojedynczy wynik może być pomyłką, ale kilka zgodnych ostrzeżeń wymaga rezygnacji z wejścia.
VirusTotal służy również do skanowania plików. Nie przesyłaj tam poufnych dokumentów, umów, faktur ani linków zawierających token logowania lub resetowania hasła. Zwykłe zgłoszenia mogą być przechowywane i udostępniane partnerom usługi.
Lista Ostrzeżeń CERT Polska zawiera domeny wykorzystywane do wyłudzania danych i innych szkodliwych działań wymierzonych w użytkowników w Polsce. Możesz sprawdzić na stronie CERT Polska, czy Twój operator lub przeglądarka korzysta z tej ochrony. Podejrzaną stronę da się też zgłosić do CERT Polska, na przykład przez formularz zgłoszenia incydentu.
Brak ostrzeżeń nie daje gwarancji bezpieczeństwa. Domeny używane w kampaniach phishingowych często działają krótko, więc baza może potrzebować czasu na ich wykrycie. Wynik narzędzia połącz ze sprawdzeniem adresu, danych firmy i zachowania witryny.
Masz własną stronę firmową? Tak zadbasz o jej bezpieczeństwo
Bezpieczeństwo strony internetowej wymaga regularnych aktualizacji, sprawnych kopii zapasowych i kontroli dostępu. Jednorazowa konfiguracja nie wystarczy, ponieważ z czasem pojawiają się nowe podatności, wygasają certyfikaty i zmienia się zawartość witryny.
W przypadku WordPressa aktualizuj rdzeń systemu, motyw oraz wtyczki. Przed większą zmianą wykonaj kopię i sprawdź aktualizację na wersji testowej, jeśli strona obsługuje sprzedaż, rezerwacje lub inne ważne procesy. Usuń nieużywane rozszerzenia i motywy. Wyłączona wtyczka nadal pozostaje na serwerze i może zawierać podatny kod.
Kopie zapasowe przechowuj poza serwerem strony. Ich częstotliwość dopasuj do liczby zmian: sklep z codziennymi zamówieniami potrzebuje częstszych kopii niż prosta strona ofertowa aktualizowana raz w miesiącu. Co pewien czas wykonaj próbne odtworzenie. Dopiero taki test potwierdza, że kopia działa.
Każde konto administracyjne powinno mieć osobne, długie hasło zapisane w menedżerze haseł. Włącz uwierzytelnianie dwuskładnikowe, czyli 2FA, i usuń konta osób, które utraciły dostęp do projektu. Pracownik zajmujący się treścią zwykle nie potrzebuje pełnych uprawnień administratora.
Certyfikat SSL powinien odnawiać się automatycznie. Monitoruj termin ważności i sprawdzaj, czy wszystkie podstrony oraz zasoby wczytują się przez HTTPS. Dodaj monitoring dostępności, prób logowania i nieoczekiwanych zmian w plikach. Dzięki alertom można szybciej zauważyć awarię lub incydent.
Ustal też prostą procedurę działania: kto otrzymuje alarm, gdzie znajdują się kopie, kto kontaktuje się z hostingiem i jak czasowo wyłączyć przejętą stronę. Kilka zapisanych kroków skraca reakcję w sytuacji, w której każda godzina ma znaczenie.
Kiwwwi – tworzenie stron internetowych i opieka nad bezpieczeństwem
Kiwwwi projektuje, wdraża i utrzymuje strony oraz sklepy internetowe. Opieka techniczna obejmuje monitoring, aktualizacje WordPressa i wtyczek, kopie zapasowe oraz reakcję na wykryte problemy.
Zakres prac dopasowujemy do strony i jej roli w firmie. Sklep, system rezerwacji i prosta witryna usługowa wymagają innej częstotliwości kontroli. Ustalamy więc zakres opieki, sposób zgłaszania problemów i odpowiedzialność za poszczególne działania. Jasno, konkretnie i bez technicznego żargonu. Jeśli dopiero planujesz nową stronę albo przebudowę obecnej, sprawdź aktualne widełki cen stron internetowych.
FAQ
-
Tak. Kłódka potwierdza szyfrowane połączenie z domeną widoczną w pasku adresu. Strona phishingowa również może mieć poprawny certyfikat, dlatego trzeba sprawdzić nazwę domeny, dane firmy i wynik skanowania.
-
Przerwij wizytę i nie wpisuj żadnych danych. Sprawdź, czy adres jest poprawny oraz czy data i godzina urządzenia są ustawione prawidłowo. Jeśli problem dotyczy Twojej strony, skontaktuj się z administratorem lub hostingiem w sprawie certyfikatu.
-
Nie daje to pełnej pewności. Narzędzie mogło jeszcze nie znać nowej domeny albo konkretnego wariantu adresu. Sprawdź także Google Safe Browsing, Listę Ostrzeżeń CERT Polska, adres domeny i dane właściciela.
-
Na komputerze najedź na link kursorem i odczytaj adres wyświetlony przez przeglądarkę. Na telefonie przytrzymaj link, aby zobaczyć podgląd. Następnie skopiuj adres i wklej go do skanera URL, uważając, aby nie otworzyć go przypadkowo.
-
Sygnałem mogą być nieznane konta administratorów, przekierowania, nowe pliki, zmienione treści, ostrzeżenia przeglądarki, nagły wzrost ruchu lub wiadomości wysyłane z serwera bez zgody właściciela. W takiej sytuacji trzeba ograniczyć dostęp, zachować logi, sprawdzić kopie i skontaktować się z osobą odpowiedzialną za opiekę techniczną.