כשכתוב אתר לא מאובטח, הכוונה בדרך כלל לכך שהחיבור לאתר אינו מוצפן, או שיש בעיה בתעודה שלו. זה לא אומר בהכרח שהאתר נפרץ, ובמקרים רבים הסיבה פשוטה ואפשר לתקן אותה.
המדריך הזה מכוון לשני קוראים: גולש שנתקל באזהרה ורוצה לדעת מה לעשות, ובעל אתר שמצא אותה באתר של העסק שלו. נעבור על מה האזהרה אומרת, מה עושים בכל מצב, איך מבדילים בין תקלות נפוצות, ומתי פונים לאיש מקצוע. המדריך כללי ולא מחליף אבחון של האתר עצמו.
בקצרה:
- אזהרה של הדפדפן לרוב מצביעה על חיבור לא מוצפן או תעודה בעייתית, ולא בהכרח על פריצה.
- כגולש: לא מזינים פרטים רגישים, בודקים את הכתובת, ויוצאים אם יש ספק.
- כבעל אתר: בודקים את התעודה, את הפניית HTTP ל-HTTPS ותוכן מעורב, ופונים לאיש מקצוע אם צריך.
כשכתוב אתר לא מאובטח: מה הדפדפן בעצם אומר?
הדפדפן אומר שהחיבור לאתר אינו מוצפן, או שהתעודה שלו אינה תקינה. הוא לא אומר שהאתר זדוני. הוא אומר, בעצם, "אני לא יכול להבטיח שהמידע שתשלח לכאן יישאר פרטי". ההסבר המושגי המלא על ההצפנה נמצא במדריך על HTTPS ותעודות אבטחה.
אזהרה קטנה או מסך מלא
יש שני סוגים עיקריים של הודעות. הראשון הוא סימן או הערה קטנה ליד שורת הכתובת, כמו "לא מאובטח". הדף ממשיך להיטען, אבל הדפדפן מסמן שיש בעיה. השני הוא מסך אזהרה מלא שחוסם את הכניסה ודורש מהגולש להחליט אם להמשיך. המסך המלא מצביע על בעיה חמורה יותר, כמו תעודה שפגה או שאינה תואמת את הכתובת.
שלוש סיבות עיקריות
- החיבור אינו מוצפן: הכתובת מתחילה ב-http ולא ב-https.
- התעודה בעייתית: היא פגה, הוצאה לדומיין אחר, או שאינה מוכרת לדפדפן.
- תוכן מעורב: הדף עצמו מוצפן, אבל חלק מהרכיבים בו נטענים בלי הצפנה.
הדפדפנים משנים מדי פעם את אופן התצוגה, ולכן ייתכן שבמכשיר שלך ההודעה תיראה קצת אחרת. העיקרון זהה בכל מקרה.
למה לא להתעלם
מי שרואה את האזהרה ומתעלם ממנה עלול להזין פרטים בחיבור שאינו מוצפן. מי שמתעלם ממנה באתר שלו מפסיד פניות. לכן כדאי להתייחס אליה ברצינות, בלי בהלה. צעד ראשון הוא להבין איזה סוג הודעה זו, ומשם ממשיכים.
מה זה אומר לבעל עסק
ההודעה נראית לגולש, אבל האחריות עליה היא של בעל האתר. גולש שרואה אזהרה לא תמיד יודע שהבעיה בהגדרות, והוא עלול להסיק שהעסק לא אמין. לכן אין טעם לחכות שמישהו ידווח. עדיף להיכנס מדי פעם לאתר של העסק מכמה מכשירים, כמו שגולש היה עושה, ולוודא שהכול נפתח כרגיל. בדיקה כזו לוקחת דקה, ויכולה לחשוף בעיה לפני שהלקוחות נתקלים בה.
האם אתר לא מאובטח הוא אתר שנפרץ?
לא בהכרח. אתר לא מאובטח אומר שהחיבור אליו לא מוגן, לא שמישהו חדר אליו. אפשר להשוות לשני אופניים על אותו מעקה: אחד נעול ואחד לא. העובדה שאחד לא נעול לא אומרת שגנבו אותו, רק שקל יותר לעשות זאת.
מתי באמת יש סיכון
הסיכון עולה כשהאתר מבקש מהגולש פרטים רגישים, כמו סיסמה או פרטי תשלום, בחיבור שאינו מוצפן. הוא עולה גם כשהכתובת נראית דומה לכתובת של עסק מוכר אבל אינה זהה, כשיש הפניה לדף חשוד, או כשהתוכן נראה שונה ממה שציפית. במקרים כאלה עדיף לצאת מהאתר ולפנות לבעלים בדרך אחרת.
סימנים שדורשים זהירות
- הכתובת נראית מוזרה, עם שגיאת כתיב או סיומת לא צפויה.
- האתר מבקש פרטים שאין סיבה שיבקש.
- יש הודעות קופצות שדורשות לעשות פעולה מיידית.
- האתר נראה שונה לגמרי ממה שזכרת.
אין צורך להיבהל, אלא פשוט לבדוק. רוב ההודעות נובעות מתקלה בהגדרות ולא ממתקפה.
אתר שלא עודכן
אתר ישן שלא עודכן תקופה ארוכה עלול להיות בעייתי, כי רכיבים ישנים יכולים להכיל נקודות תורפה, והתעודה שלו עלולה לפוג. זה לא אומר שכל אתר ישן מסוכן, אבל כדאי לוודא שמישהו אחראי על התחזוקה. אנחנו ב-SZ בונים אתרים כך שכל הגישות והשליטה נמצאות אצל הלקוח, וכך ברור מי אחראי.
דוגמה להמחשה בלבד
נניח שבעל מאפייה מקבל טלפון מלקוחה שמספרת שכשניסתה להיכנס לאתר, הדפדפן הציג מסך אדום. הוא נכנס מהמחשב שלו, והאתר נפתח כרגיל. הסיבה יכולה להיות מטמון ישן במכשיר שלה, תעודה שפגה זה עתה, או רשת שמפריעה לחיבור. הצעד הנכון הוא לא לנחש, אלא לבקש ממנה לנסות שוב מרשת אחרת, ובמקביל לבדוק את התעודה. כך מבחינים בין תקלה בצד של הלקוחה לבין תקלה בצד של האתר.
גם רשת ציבורית משפיעה
הודעה על חיבור לא בטוח יכולה להופיע גם כשהאתר עצמו תקין, למשל כשמתחברים מרשת ציבורית שמפריעה לחיבור. לכן כדאי לנסות גם מרשת אחרת, ולבדוק שוב לפני שמסיקים מסקנות.
אתר לא מאובטח אצל הגולש: מה עושים כשנתקלים בהודעה
אם אתה גולש שנתקל באזהרה, הצעד הראשון הוא לא להזין שום פרט אישי. אחר כך בודקים כמה דברים פשוטים לפני שמחליטים אם להמשיך או לצאת.
צעדים לפי הסדר
- לא מזינים סיסמאות, פרטי תשלום או מידע אישי עד שמבררים את הסיבה.
- בודקים שהכתובת נכונה: אותיות, סיומת, ושם העסק. כתובת שדומה לכתובת מוכרת אבל שונה בפרט אחד היא סימן אזהרה.
- מנסים לגלוש בחיבור אחר: לפעמים הבעיה היא ברשת, לא באתר.
- בודקים שעון ותאריך במכשיר: תאריך שגוי יכול לגרום לדפדפן לחשוב שהתעודה פגה.
- מנסים דפדפן אחר או מכשיר אחר, כדי לבדוק אם הבעיה חוזרת.
מתי יוצאים
אם הבדיקות הבסיסיות לא פותרות את הבעיה, ואתה צריך להזין פרטים, עדיף לצאת. אפשר לפנות לבעלי האתר בדרך אחרת, למשל בטלפון שמופיע בדף העסק בגוגל, ולהסביר שהאתר מציג אזהרה. בעלים אחראי ישמח לשמוע.
מה לא עושים
לא לוחצים על "המשך בכל זאת" רק כדי שהדף ייפתח. הכפתור הזה קיים בכוונה, אבל הוא מיועד למי שמבין מה הוא עושה. אם הגעת לאתר כדי לקנות, להזין פרטים או להתחבר, האזהרה היא סיבה טובה לעצור.
מה אפשר לשתף עם בעלי האתר
אם החלטת לפנות לבעלי האתר, כדאי לצרף כמה פרטים שיעזרו להם לאבחן: מה בדיוק הופיע בהודעה, באיזה דף, באיזה דפדפן ובאיזה מכשיר. צילום מסך של ההודעה שימושי במיוחד. אל תצרף סיסמאות ואל תשלח פרטים אישיים. דיווח ברור חוסך למי שמטפל באתר זמן רב, ומגדיל את הסיכוי שהבעיה תיפתר מהר.
גולש שהוא גם בעל עסק
גם מי שמנהל עסק וגולש באתרים של ספקים או שותפים נתקל באזהרות. הכלל זהה: אם אתה לא בטוח, לא מזינים פרטי חברה, פרטי חשבון או נתוני לקוחות. אפשר לבקש מהספק לבדוק, ולהמתין עד שיתקן.
הסיבות הנפוצות לאזהרה באתר העסק שלך
אם האזהרה מופיעה באתר שלך, כדאי לעבור על הסיבות הנפוצות. לרוב יש אחת מחמש, ומזהים אותה בבדיקה קצרה.
תעודה שפגה או שלא הותקנה
תעודה היא בעלת תוקף. כשהיא פגה בלי שחודשה, הדפדפן מציג אזהרה. לפעמים התעודה בכלל לא הותקנה, למשל אחרי שהעברת את האתר לשרת חדש. זו הסיבה הנפוצה ביותר למסך אזהרה מלא, והתיקון בדרך כלל פשוט כשיודעים מי אחראי.
תוכן מעורב
הדף נטען בחיבור מוצפן, אבל תמונה, סקריפט או קובץ עיצוב נטענים מכתובת ללא הצפנה. הדפדפן מזהה את הפער ומסמן את הדף כבעייתי חלקית. הפתרון הוא לעדכן את הכתובות כך שהכול יעבוד בחיבור מוצפן.
אין הפניה מ-HTTP ל-HTTPS
גולשים שמקלידים את הכתובת בלי ההתחלה, או שמגיעים מקישור ישן, עשויים להגיע לגרסה הלא מוצפנת. הפניה אוטומטית מבטיחה שכולם יגיעו לגרסה המוצפנת.
שינוי באחסון או בדומיין
העברה לספק אחסון אחר, חיבור דומיין חדש או שינוי בהגדרות עלולים לשבור את התעודה. לכן כל שינוי כזה מחייב בדיקה אחריו.
סדר בדיקה מומלץ
כשהאזהרה מופיעה באתר שלך, כדאי לא לקפוץ לתיקון אלא לבדוק לפי סדר: קודם האם היא מופיעה בכל הדפים או בדף אחד, אחר כך האם הכתובת מתחילה ב-https, ואז מה אומרים הפרטים של התעודה. לחיצה על סימן האבטחה בשורת הכתובת מציגה בדרך כלל את תוקף התעודה ולמי היא הוצאה. שלושת הנתונים האלה מצמצמים את האפשרויות ומקצרים את האבחון.
אתר עם טופס שאוסף פרטים
אם באתר יש טופס, האזהרה חשובה במיוחד, כי היא נוגעת ישירות לפרטים שהגולשים שולחים. אתרים של משרדי שירות מקצועי, למשל, מקבלים פניות שיכולות לכלול מידע רגיש. פירוט נוסף על התחום מופיע במדריך על אתר למשרד עורכי דין.
תקלות נפוצות: סימפטום, סיבה אפשרית וצעד ראשון
הטבלה הבאה עוזרת לקשר בין מה שרואים לבין הסיבה האפשרית. כל מקרה שונה, ואבחון מדויק נעשה אצל מי שמטפל באתר.
| מה רואים | סיבה אפשרית | צעד ראשון |
|---|---|---|
| מסך אזהרה מלא לפני הכניסה | תעודה שפגה | לבדוק את תוקף התעודה ולחדש |
| סימן "לא מאובטח" בדף אחד בלבד | תוכן מעורב בדף | לאתר את הרכיב שנטען ללא הצפנה |
| הכתובת נפתחת ב-http | אין הפניה ל-HTTPS | להגדיר הפניה אוטומטית |
| אזהרה בדומיין חדש | לא הותקנה תעודה | להתקין תעודה לדומיין החדש |
| אזהרה אחרי העברת אחסון | הגדרות שהשתנו | לבדוק את ההגדרות אצל הספק |
איך משתמשים בטבלה
הטבלה היא נקודת התחלה ולא אבחנה סופית. סימפטום אחד יכול לנבוע ממספר סיבות, וצעד ראשון הוא רק ההתחלה. אם אחרי הצעד הראשון הבעיה נשארת, כדאי לפנות לאיש מקצוע ולא להמשיך לנסות.
בלי מספרים ובלי הבטחות
זמן התיקון תלוי בסיבה ובספק, ולא ניתנות כאן הערכות. מה שאפשר לומר הוא שבעיות של תעודה ושל הפניות פתירות ברוב המקרים, ושהאבחון המהיר חוסך זמן.
מה לא עושים: טעויות נפוצות כשמנסים לתקן לבד
כשרואים אזהרה באתר שלך, הדחף הוא לתקן מיד. הבעיה היא שתיקון בלי הבנה עלול להחמיר את המצב. הנה הטעויות הנפוצות.
להתעלם כי האתר נטען
העובדה שהאתר נפתח לא אומרת שהכול בסדר. הדפדפן מזהיר מסיבה. התעלמות מהאזהרה פירושה שגולשים ימשיכו לראות אותה.
להתקין תוספים לא מוכרים
יש תוספים שמבטיחים "להעלים אזהרה" בלחיצה אחת. תוסף שלא מכירים עלול להוסיף בעיות חדשות, ובמקרה הגרוע להכניס קוד שאינו רצוי. מתקינים רק רכיבים ממקור מוכר ומעודכן.
לשנות הגדרות בלי גיבוי
שינוי בהגדרות האחסון או הדומיין בלי גיבוי עלול להשבית את האתר. לפני כל שינוי יוצרים עותק שאפשר לחזור אליו.
לשנות הכול בבת אחת
כשכמה דברים נראים לא בסדר, מפתה לשנות הרבה הגדרות ביחד. אבל אם משהו משתבש, כבר אי אפשר לדעת איזה שינוי גרם לזה. עדיף לשנות דבר אחד, לבדוק, ורק אחר כך להמשיך. גישה כזו איטית יותר בהתחלה, אבל חוסכת הרבה זמן כשצריך לחזור אחורה.
לשלם לגורם לא מוכר
לפעמים מגיעה הודעה, בדוא"ל או בטלפון, שמציעה "לתקן את האבטחה של האתר" תמורת תשלום. אל תשלם לגורם שאינך מכיר בלי לבדוק. פנה לספק האחסון או לבונה האתר שלך.
משפט חשוב
הדרישות והנוסח הרשמי מתעדכנים, כדאי לבדוק נוסח עדכני ולהתייעץ עם איש מקצוע. מדריך כללי כמו זה אינו מחליף אבחון של האתר שלך, ולא נותן ייעוץ משפטי או מקצועי. לפרטים על עקרונות בדיקה אפשר להיעזר בתיעוד הרשמי של חיפוש בגוגל.
מתי פונים לאיש מקצוע ומה שואלים אותו
פונים לאיש מקצוע כשהאזהרה לא נעלמת אחרי בדיקות בסיסיות, או כשהאתר אוסף פרטים והבעיה נוגעת אליהם. אין בושה בכך. כמו שלא כל בעל בית מחליף בעצמו מנעול, לא כל בעל עסק צריך לתקן תעודה.
שאלות שכדאי לשאול
- מה הסיבה המדויקת לאזהרה?
- מי מחדש את התעודה, ומתי?
- איך מוודאים שהאזהרה לא תחזור?
- האם נדרשת בדיקה נוספת באתר?
תשובות ברורות לשאלות האלה הן סימן טוב. תשובה מעורפלת, או הבטחה ש"הכול בסדר" בלי הסבר, היא סימן שכדאי לבדוק שוב.
איך נראית פנייה טובה לאיש מקצוע
פנייה טובה כוללת תיאור קצר של מה שרואים, מתי זה התחיל, ומה השתנה לפני כן, למשל העברת אחסון או חיבור דומיין חדש. אם יש גישה לצילום מסך, מצרפים אותו. מי שמקבל פרטים כאלה יכול לתת אבחון ראשוני מהר יותר. ואם הוא מבקש גישות כדי לבדוק, כדאי לוודא שהן ניתנות רק לאדם מוכר, ושמבטלים אותן בתום העבודה.
מה כלול אצלנו
אצל SZ כל הגישות והשליטה נשארות אצל הלקוח. אנחנו נותנים 3 חודשי אחריות לתיקונים טכניים, אם הציון יורד בגלל תקלה שלא נגרמה משינוי של הלקוח בקוד. ללקוח יש איש קשר אחד לאורך כל הדרך.
מקורות להמשך
אם אתה בונה אתר חדש, מומלץ לקרוא את מדריך הבנייה שלב אחר שלב לפני שמתחילים. ולמי שרוצה תמונה רחבה יותר על הדרך שבה אנחנו עובדים, יש את העמוד על בניית אתרים לעסקים.
אחרי התיקון: בדיקות קבועות שמונעות חזרה של האזהרה
תיקון חד פעמי הוא רק חצי מהעבודה. כדי שהאזהרה לא תחזור, כדאי להוסיף כמה בדיקות קצרות לשגרה, כמו שבודקים שהדלת נעולה לפני שיוצאים מהחנות.
לוח בדיקה קצר
- תעודה: האם היא בתוקף, ומתי היא פגה?
- הפניות: האם כל הכתובות עוברות ל-HTTPS?
- דפים ישנים: האם יש דפים שנטענים עם רכיבים לא מוצפנים?
- טופס: האם הוא נשלח בחיבור מוצפן?
אחרי שינוי באחסון או בדומיין
כל שינוי כזה הוא סיבה לבדוק שוב. העברת אתר, חיבור דומיין חדש או החלפת ספק עלולים לשבור תעודה, גם אם עד אתמול הכול עבד. בדיקה של כמה דקות אחרי השינוי חוסכת ימים של תקלה שאיש לא שם לב אליה.
תזכורת קבועה
הדרך הפשוטה ביותר לא לשכוח היא להכניס את הבדיקה ליומן, למשל פעם בכמה זמן שנוח לך, ולצרף רשימה קצרה. בדיקה שנעשית רק כשיש בעיה מגיעה תמיד באיחור. בדיקה קבועה, גם אם היא רק מעבר מהיר על האתר מהנייד, תופסת רוב הבעיות לפני שהגולשים רואים אותן.
אבטחה וקידום אינם אותו דבר
חשוב להפריד: אתר מאובטח מונע אזהרות ובונה אמון, אבל אין הבטחת דירוג. מי שמטפל באבטחה כדי להתקדם בגוגל עלול לאכזב את עצמו. מי שמטפל בה כדי להגן על הגולשים ולשמור על אמון יצליח יותר. על הקשר בין הדברים אפשר לקרוא במדריך על הקשר בין אתר לקידום.
רוצה אתר שנבנה נכון ושאין בו הפתעות?
אתר ללא אזהרות, עם תעודה שמתחדשת וגישות שנמצאות אצלך, הוא בסיס שקט לעסק. אם אתה שוקל לבנות אתר חדש או לבדוק את האתר הקיים, אפשר לדבר על מה שהעסק שלך צריך. דבר איתנו.
המאמר נכתב בעזרת בינה מלאכותית, ונערך ואושר על ידי סלבה זמסקי, המייסד של SZ.