יסודות אבטחה לאתר עסקי, ומה סריקה חינמית בודקת

יסודות האבטחה של אתר עסקי הם שבעה דברים: HTTPS שהדפדפנים מצווים לדרוש, אימות דוא״ל לדומיין שלכם, תוכנה ותוספים מעודכנים, כניסות חזקות וייחודיות עם גורם שני, גיבויים שנבדקו, גישת ניהול מוגבלת, ואדם שמקבל את ההתראה. סריקה חיצונית חינמית יכולה לבדוק את השניים הראשונים. את השאר היא לא רואה, ולכן שם נתפסים לרוב אתרים של עסקים קטנים. הנה כל אחד מהם, למה הוא חשוב, מי יכול לבדוק אותו, וביקורת של שלושים דקות שאפשר להריץ השבוע.

HTTPS מצפין את החיבור בין המבקר לאתר. כותרת בשם Strict-Transport-Security, או HSTS, הולכת צעד אחד קדימה. MDN מתארת אותה כמודיעה ”לדפדפנים שאל המארח צריך לגשת רק ב-HTTPS, ושכל ניסיון עתידי לגשת אליו ב-HTTP יוסב אוטומטית ל-HTTPS” (תרגום שלנו). משמעות נוספת: אם מתרחשת שגיאת תעודה, הדפדפן לא מציע למבקר דרך לעבור אותה בלחיצה. MDN מוסיפה שהכותרת חייבת להישלח ב-HTTPS, ומתעלמים ממנה אם היא נשלחת ב-HTTP רגיל.

מי יכול לבדוק: סריקה חיצונית, כי גם התעודה וגם הכותרת פומביות. זו אחת הבדיקות בבדיקת האתר החינמית שלנו. רשמו גם את תאריך תפוגת התעודה ומי מחדש אותה.

רשומות ה-DNS של הדומיין אומרות לשרתי דואר מי רשאי לשלוח בשמכם. הן נקראות SPF, DKIM ו-DMARC. זה כבר לא רק נוהג טוב: בהנחיות השולחים של Google כתוב שמ-1 בפברואר 2024 כל השולחים לחשבונות Gmail חייבים ”להגדיר אימות דוא״ל SPF או DKIM”, ושולחים של יותר מ-5,000 הודעות ביום ל-Gmail חייבים להגדיר SPF, DKIM ו-DMARC, עם ביטול הרשמה בלחיצה אחת בדואר שיווקי (תרגום שלנו). בלי זה, הצעות המחיר והחשבוניות שלכם עלולות להגיע לספאם, וקל יותר לכל אחד לשלוח זיוף משכנע בשמכם.

מי יכול לבדוק: סריקה חיצונית, כי הרשומות פומביות. הסתייגות אחת: רשומת DKIM יושבת תחת שם שהספק של הדואר בוחר, ולכן סריקה שלא מוצאת אותה צריכה לומר ”לא ניתן היה לבדוק” ולא ”חסרה”. אם החלפתם לאחרונה חבילת דואר, ראו את ההשוואה בין Microsoft 365 ל-Google Workspace ובדקו שוב את הרשומות, כי ייתכן שרשומות של הספק הקודם עדיין שם.

תוכנה לא מעודכנת ותוספים פגיעים הם דרך נפוצה לפריצה לאתר, וסריקה חיצונית לא יכולה לראות אותם. בשאלות הנפוצות של MDN Observatory (כפי שנקלטו ביוני 2026) כתוב שהבדיקות שלה לא מכסות ”גרסאות תוכנה מיושנות, פגיעויות SQL injection, תוספים פגיעים של מערכות ניהול תוכן, יצירה או אחסון לא נכונים של סיסמאות”, ושאלה ”חשובים בדיוק כמו הנושאים ש-Observatory כן בודק” (תרגום שלנו). ציון נקי על כותרות הוא לא אתר מאובטח.

אם האתר רץ על WordPress, ספר ההקשחה של WordPress (עודכן לאחרונה ב-7 בינואר 2026) אומר לשמור על הגרסה העדכנית ביותר, כי ”גרסאות ישנות של WordPress לא מקבלות עדכוני אבטחה” (תרגום שלנו). הוא גם אומר להשיג תוספים ותבניות רק ממאגר WordPress.org או מחברות מוכרות. המדריך WordPress, Shopify או אתר מותאם מסביר מה כל פלטפורמה משאירה לכם לתחזק.

מי יכול לבדוק: מי שמפעיל את האתר. בקשו את תאריך העדכון האחרון של מערכת הניהול, התבנית וכל תוסף, ומחקו תוספים שאתם לא משתמשים בהם.

היסודות של NIST לאבטחת סייבר בעסק קטן (הדף עודכן ב-22 במאי 2026) אומרים לדרוש סיסמאות חזקות ולשקול מנהל סיסמאות, ולדרוש מהעובדים להפעיל אימות רב-שלבי, במיוחד עמיד לפישינג, בכל חשבון שמציע אותו (תרגום שלנו). הפעילו אותו לניהול האתר, לחשבון האחסון, לרשם הדומיין ולדוא״ל שלכם, בסדר הזה של סיכון. הרשם חשוב יותר ממה שרוב הבעלים חושבים: מי ששולט בדומיין שולט בכתובת האתר ובדוא״ל שלכם.

מי יכול לבדוק: אתם, בהגדרות האבטחה של כל חשבון. סורק לא יכול.

אם האתר ניזוק או ננעל, גיבוי הוא הדרך להחזיר אותו. ספר ההקשחה של WordPress מונה גיבויים בין היסודות ואומר שתוכנית לגיבוי ושחזור ”יכולה לעזור לכם לחזור לאוויר מהר יותר” (תרגום שלנו). הוא צריך להיות נפרד מהאתר, עדכני, ולהשתחזר לפחות פעם אחת כבדיקה. איך עושים את זה, ראו גיבויים שבאמת אפשר לשחזר מהם.

ספרו את החשבונות שיכולים לשנות את האתר: הסוכנות שבנתה אותו, פרילנסר מלפני שלוש שנים, עובד שעזב. הסירו כל חשבון שאין לו סיבה קיימת לפעול. תנו לכל אדם כניסה משלו, לא משותפת, כדי שתוכלו לראות מי עשה מה.

אתר שנפל, תעודה שעומדת לפוג או טופס שהפסיק לשלוח לידים צריכים להגיע לאדם עם שם. הגדירו ניטור וכתובת התראה, ורשמו מי מגיב. בדקו את טופס יצירת הקשר פעם בחודש בשליחת הודעה לעצמכם, כי טופס שנכשל בשקט עולה בלידים במשך שבועות.

כל מה שנמצא תחת ”מי מפעיל את האתר” למעלה. סריקה חינמית קוראת מה שהאתר מראה כלפי חוץ. היא לא נכנסת, לא בודקת את התוספים ולא מסתכלת בתוך השרת. בשביל זה צריך אדם שמקים ומטפל במערכת. הגדרת האבטחה שלנו כוללת חשבונות עם כניסה רב-שלבית, גיבויים, אימות דוא״ל וכותרות אתר, במחיר לפי היקף. זו עבודת הקמה, לא הערכה מוסמכת.

1. הריצו את הסריקה החינמית על הדומיין ורשמו מה היא מסמנת ומה היא אומרת שלא יכלה לבדוק.
2. היכנסו לרשם הדומיין ובדקו את דוא״ל הקשר, את תאריך התפוגה ושגורם שני מופעל.
3. רשמו כל חשבון ניהול באתר והסירו את אלה שאף אחד לא יכול להסביר.
4. פתחו את מסך העדכונים ורשמו כמה עדכונים ממתינים וכמה ישן הישן ביותר.
5. מצאו את הגיבוי האחרון ושאלו מי שחזר אי פעם גיבוי.
6. שלחו הודעת בדיקה דרך טופס יצירת הקשר וראו מי מקבל אותה.

קבעו שיחת היכרות חינם אם אתם רוצים שאדם יעבור על הרשימה איתכם.

• Strict-Transport-Security, MDN, הדף שונה לאחרונה ב-23 באפריל 2026, כפי שנקלט ב-Common Crawl ב-9 ביוני 2026.
• Observatory FAQ, MDN, כפי שנקלט ב-Common Crawl ב-12 ביוני 2026.
• Email sender guidelines, Google, כפי שנקלט ב-Common Crawl ב-16 במאי 2026.
• Hardening WordPress, WordPress Advanced Administration Handbook, עודכן לאחרונה ב-7 בינואר 2026, כפי שנקלט ב-Common Crawl ב-12 ביוני 2026.
• Cybersecurity Basics, NIST Small Business Cybersecurity Corner, הדף עודכן ב-22 במאי 2026, כפי שנקלט ב-Common Crawl ב-7 ביוני 2026.