PHP-säkerhet är en del av företagets löpande arbete med att skydda webbplatsen och de system som hör till den. En fungerande hemsida säger inte i sig om miljön har aktuella säkerhetsuppdateringar eller tydliga behörigheter. På vår sida om PHP-säkerhet och säkerhetskontroll samlar vi nu en väg in till en genomgång av webbmiljön, med möjlighet att beskriva era behov eller boka ett möte med en specialist.
Syftet är att börja i rätt ände: ta reda på vad ni använder, vem som ansvarar för uppdateringarna och vilka åtgärder som behöver prioriteras. Ni behöver inte känna till PHP-versionen för att ta kontakt. Det viktiga är att det finns en tydlig väg från en fråga om säkerhet till ett konkret underlag för nästa steg.
Börja med att förstå webbmiljön
PHP används bland annat av publiceringssystem som WordPress. För ett företag kan webbplatsen därför vara beroende av PHP även om ingen i organisationen arbetar direkt med programmeringsspråket. Webbhotellet, webbyrån och den som administrerar webbplatsen kan ha olika delar av ansvaret. För att kunna bedöma säkerhetsläget behöver ni veta hur dessa delar hänger ihop.
Börja med att fråga vilken PHP-version som används och var uppgiften kan kontrolleras. Be också om en översikt över publiceringssystem, tillägg och andra beroenden. Dokumentera vem som kan ändra serverinställningar och vem som har rätt att uppdatera webbplatsen. Det ger en gemensam utgångspunkt för samtalet och minskar risken att viktiga frågor faller mellan olika leverantörer.
Säkerhetsuppdateringar behöver följas upp
En uppdatering behöver bedömas utifrån den faktiska miljön. Det räcker inte att veta att en patch har släppts; ni behöver också kunna avgöra om den berör er installation och om den har införts. Kontrollera säkerhetsinformationen mot den version som verkligen körs, inte enbart mot en gammal lista eller den version som någon minns att webbplatsen hade när den byggdes.
Utgå från PHP:s officiella information om versionsstöd när ni kontrollerar om en version fortfarande får uppdateringar. Versionsstöd förändras över tid, så en aktuell kontroll är bättre än att behandla en äldre bedömning som permanent. Be den ansvariga leverantören beskriva hur uppdateringar följs upp och hur ni får besked när en åtgärd behöver göras.
Kontrollera beroenden och kompatibilitet
PHP-versionen är en del av helheten. Publiceringssystem, tillägg och anpassad kod behöver också fungera tillsammans efter en förändring. En uppgradering bör därför planeras med hänsyn till det som webbplatsen används till, exempelvis kontaktformulär, inloggning eller kopplingar till andra system. Gör en lista över de funktioner som måste kontrolleras innan arbetet betraktas som klart.
Be om ett tydligt upplägg för hur ändringar ska provas och hur resultatet ska följas upp. Finns det en testmiljö, en ansvarig person och dokumentation från tidigare uppdateringar? Frågorna hjälper er att skilja en enskild versionsändring från ett genomtänkt underhållsarbete. De gör det också enklare att diskutera vad som kan genomföras direkt och vad som behöver förberedas först.
Behörigheter hör också till PHP-säkerheten
Arbetet med webbmiljön handlar inte bara om kod och versioner. Administratörskonton, behörigheter och MFA behöver ingå i genomgången. Ta reda på vilka som har tillgång till webbplatsens administration och kontrollera att tillgången motsvarar deras nuvarande uppgifter. Ett konto som behövdes under ett tidigare projekt behöver inte automatiskt vara kvar med samma behörighet.
Se även till att ni vet hur åtkomst hanteras när någon slutar eller när ett leverantörssamarbete förändras. Dokumentera kontaktvägar och ansvar så att företaget kan få hjälp utan att vara beroende av en enda persons minne. Läs mer om hur dessa frågor ingår i ett bredare arbete med IT-säkerhet för företag.
Säkerhetskopiering och ansvar för återställning
Inför förändringar i webbmiljön behöver ni förstå vilket återställningsunderlag som finns. Fråga vad som säkerhetskopieras, vem som ansvarar för kopiorna och hur en återställning ska gå till. Det är också relevant att veta om underlaget omfattar både filer och information som webbplatsen behöver för att fungera.
En säkerhetskopia ersätter inte en säkerhetsuppdatering, men frågorna behöver hanteras tillsammans när arbetet planeras. Be om tydliga besked om hur en förändring dokumenteras och vem som fattar beslut om något inte fungerar som avsett. På vår sida om backup och disaster recovery finns mer om säkerhetskopiering och återläsning som del av IT-miljön.
Från genomgång till åtgärdsplan
PHP-säkerhetskontrollen på kampanjsidan omfattar PHP-version, säkerhetsuppdateringar, beroenden och synliga risker samt behörigheter, MFA och administratörskonton. Målet med genomgången är en åtgärdsplan som skiljer det som behöver göras nu från det som kan planeras. Exakt omfattning bestäms utifrån er miljö, inte genom att anta att alla webbplatser har samma förutsättningar.
Ni behöver inte börja med att byta leverantör. Genomgången kan vara en utgångspunkt för samarbete med er nuvarande webbyrå eller ert webbhotell. Förbered gärna webbplatsens adress och information om vem som sköter den idag. Om PHP-versionen är okänd kan ni ange att ni är osäkra i formuläret och låta den frågan ingå i samtalet.
Boka konsultation om er webbmiljö
Vill ni gå igenom läget tillsammans? Boka konsultation med en specialist eller begär en säkerhetskontroll. Beskriv gärna vilka system webbplatsen är kopplad till och om ni redan har en ansvarig leverantör. Det hjälper till att ge samtalet rätt utgångspunkt utan att ni behöver göra en egen teknisk bedömning i förväg.
Om frågan berör mer än webbplatsen kan ni även läsa om IT-support för företag. Webbmiljön, användarkontona och den övriga IT-miljön behöver ses i sitt sammanhang. Börja med en tydlig bild av nuläget och låt nästa steg utgå från vad genomgången faktiskt visar.