Tietoturvan perustarkastus.

Vastaako verkkotunnuksenne oma nimipalvelu ylipäätään. Jos se ei vastaa, yritys ei ole verkossa lainkaan: sivu ei aukea eikä sähköposti kulje kumpaankaan suuntaan, eikä tilanne näy teille itsellenne jos ette juuri silloin yritä avata sivua muualta. Tavallisin syy on verkkotunnus joka on ostettu ja osoitettu palveluntarjoajalle, mutta jota ei ole lisätty sinne asti että sille syntyisi asetukset.

Osoittaako jokin alaosoitteenne palveluun jota ei enää ole. Silloin ulkopuolinen voi ottaa sen palvelun itselleen ja julkaista mitä tahansa teidän verkkotunnuksellanne. Kävijälle sivu näyttää teidän sivultanne, koska osoite on aidosti teidän.

Onko verkkotunnuksenne nimipalvelutieto allekirjoitettu, eli voiko vastausta kysymykseen "missä tämän yrityksen sivu ja sähköposti sijaitsevat" väärentää matkalla. Suomessa allekirjoitus on käytössä harvinaisen harvalla, ja mittasimme sen 4 988 yritykseltä ennen kuin otimme sen mukaan.

Onko kerrottu julkisesti, mitkä varmentajat saavat myöntää salausvarmenteen teidän nimellenne. Ilman rajausta varmenteen voi myöntää kuka tahansa varmentaja maailmassa, jos se saadaan vakuuttuneeksi hakijasta. Rajaus lisätään kerran eikä se vaadi ylläpitoa.

Milloin verkkotunnuksenne erääntyy. Unohtunut uusinta on nopein tapa menettää sivut ja sähköposti samalla kertaa, ja vapautuneen tunnuksen ehtii rekisteröidä joku muu ennen kuin ehditte huomata mitään. Katsomme jäljellä olevan ajan ja kerromme erikseen, jos uusinta on lähellä.

Voiko ulkopuolinen lähettää sähköpostia yrityksenne nimissä? Jos suojaus puuttuu, huijari voi lähettää asiakkaillenne laskun teidän osoitteestanne, ja viesti menee perille kuin se olisi teiltä. Suomessa tämä on auki hälyttävän usein. Samalla katsotaan, allekirjoitetaanko lähtevät viestinne, eli voiko vastaanottaja todeta ettei viestiä ole matkalla muutettu.

Toimiiko suojauksenne oikeasti, vai onko se kasvanut yli rajan. Suojaukselle on standardissa kova katto, ja se ylittyy vähitellen kun otetaan uusia laskutus- ja uutiskirjejärjestelmiä. Ylityksen jälkeen suojaus lakkaa toimimasta, mutta asetus näyttää yhä täysin normaalilta. Sama pätee kahteen päällekkäiseen asetukseen: ne mitätöivät toisensa.

Kattaako suojaus myös alaosoitteenne ja kaikki viestit. Suojaus voidaan asettaa koskemaan vain osaa viesteistä tai ohittamaan alaosoitteet kokonaan. Väärentäjä käyttää mielellään alaosoitetta, koska se sisältää yrityksenne oikean nimen ja on siksi uskottavampi.

Vaaditaanko teille lähetettävät viestit kulkemaan salattuna. Ilman vaatimusta lähettävä palvelin voi pudota salaamattomaan yhteyteen, jos joku häiritsee yhteydenmuodostusta, ja viestit kulkevat selväkielisinä. Vaatimus koostuu kahdesta osasta, ja jos toinen puuttuu, se ei toimi lainkaan vaikka asetus näyttää ulospäin oikealta. Haemme molemmat.

Mihin verkkotunnuksellenne lähetetty posti ohjataan. Jos määritys puuttuu tai osoittaa palveluun jota ette enää käytä, teille lähetetyt viestit eivät tule perille, eikä lähettäjä välttämättä saa siitä mitään ilmoitusta. Sama määritys kertoo ulospäin kenen sähköpostipalvelua käytätte, ja se on ensimmäinen asia jonka viestien väärentäjä katsoo.

Onko sivustonne varmenne voimassa ja vanhenemassa, ja hyväksyykö palvelin yhä vanhentunutta salausta. Umpeutunut varmenne näyttää asiakkaalle varoitussivun, ja se ehtii ajaa kävijät pois ennen kuin kukaan huomaa. Vanhentunut salaus taas ei näy kävijälle mitenkään: nykyselain valitsee aina uusimman menetelmän, joten vanha löytyy vain pyytämällä sitä erikseen. Hyökkääjä pyytää.

Ohjautuuko salaamaton osoite automaattisesti salattuun. Voimassa oleva varmenne ei vielä tarkoita sitä: jos vanha http-osoite palvelee sivun edelleen, kävijän lomaketiedot kulkevat selväkielisinä eikä mikään näytä vialliselta.

Kertooko sivustonne selaimelle miten sitä pitää suojata, ja vuotaako se ulos versiotietoja jotka kertovat hyökkääjälle mitä ohjelmistoa vastaan hän on. Tarkistus on yksi tavallinen sivulataus, ei skannaus.

Onko sivustonne evästeisiin merkitty ne liput, jotka estävät niiden kulkemisen salaamattomana ja niiden lukemisen sivulle ujutetulla koodilla. Istuntoevästeen kaappaus on tavallisin tapa päästä kirjautuneen käyttäjän tilille ilman salasanaa.

Näyttääkö jokin sivustonne kansio ulkopuoliselle koko tiedostoluettelonsa. Silloin kuka tahansa voi selata mitä siellä on ilman että hänen tarvitsee arvata tiedostojen nimiä, ja listaus paljastaa myös kaiken mitä kansioon jatkossa päätyy.

Kertooko palvelimenne ulospäin tarkan versionsa. Se ei ole aukko itsessään, mutta se säästää hyökkääjän työtä: hän voi hakea juuri sen version tunnetut haavoittuvuudet arvaamatta mitään.

Kaksi tiedostoa jotka jokainen sivusto joko tarjoaa tai jättää tarjoamatta. Toinen kertoo mihin tietoturvahavainnon voi ilmoittaa, jotta löytäjä tietää kenelle kertoa. Toiseen on usein kirjoitettu polkuja joita ei haluta hakukoneisiin, jolloin julkisesta tiedostosta tulee kartta juuri niihin.

Onko joku rekisteröinyt verkkotunnuksen, joka muistuttaa teidän tunnustanne yhden kirjaimen tarkkuudella. Näitä käytetään laskuhuijauksiin, koska vastaanottaja ei huomaa eroa vilkaisulla.

Mitkä alaosoitteenne näkyvät ulos varmennelokeista. Jokainen salausvarmenne kirjataan julkiseen lokiin, joten listalle päätyvät myös unohtuneet testi-, kehitys- ja hallintaosoitteet joita ette itse enää muista olevan olemassa. Kerromme erikseen, jos joukossa on kirjautumis- tai etäkäyttöosoitteita. Tämä lista on hyökkääjän ensimmäinen työvaihe, ja se on julkinen tehtiinpä tarkastusta tai ei.

Onko sähköpostipalvelimenne julkisella estolistalla. Jos on, osa vastaanottajista siirtää viestinne roskapostiin tai hylkää ne kokonaan. Tämä näkyy teillä yleensä jo ennen kuin kukaan kertoo siitä: laskuja ja tarjouksia ei ole huomattu, eikä syytä ole tiedetty.