Testando a Segurança do seu Site – Parte 1

Melhores Práticas

Ao instalar ou atualizar um aplicativo web, você deve apagar arquivos antigos. Por exemplo, se você estiver rodando um fórum e desejar atualizá-lo para sua versão mais recente, o melhor procedimento é fazer backup dos arquivos antigos e instalar os arquivos novos. Estamos nos referindo aos arquivos de aplicativos, como os arquivos PHP, não de suas imagens e outros arquivos que deverão ser mantidos instalados. Você também deverá manter arquivos antigos de configuração antigas, ou seja, config.php ou semelhantes, caso contrário você não será capaz de fazer a atualização.

Algumas vezes, a nova versão não vem mais com um determinado arquivo e você acaba com um arquivo deatualizado e sem uso em seu servidor. Mais tarde, se uma falha de segurança que afeta a versão de seu arquivo antigo for descoberta, um hacker poderá explorar esse arquivo. E você acreditará que seu site está seguro, já que está rodando a versão mais recente do aplicativo, e não a versão com a falha de segurança.

Por falar nisso, você deverá sempre manter todos os programas em suas versões mais recentes, especialmente caso gerencie seus próprios servidores. Você deve manter uma planilha com todos os programas que tem instalados, suas versões e seus sites para download, verificando pelo menos uma vez por semana se existem versões mais novas.

Alguns desenvolvedores permitem que você se inscreva em uma lista de aviso, de modo a receber um e-mail sempre que novas versões são lançadas. Alguns aplicativos, como o WordPress, permitem que você procure por novas versões e as atualize dentro do próprio painel de controle.

Por fim, de nada adianta todas as dicas de segurança do mundo se você mantiver um login e senha muito óbvios em qualquer parte do seu site e/ou servidor ou utilizar o mesmo login e senha para todos os serviços do seu site ou servidor. A senha deve ser diferente do login, e não deve ser composta de uma palavra que exista (isto é, que conste em um dicionário), pois um método de ataque bastante comum chama-se justamente “ataque por dicionário”, onde o hacker usa um programa que tenta automaticamente todas as palavras constantes em um dicionário. A senha deve ser uma combinação de letras maiúsculas, minúsculas, números, símbolos especiais e conter pelo menos oito caracteres, e você deve usar uma senha diferente para cada serviço em seu site ou servidor.

Muita gente tem dificuldade de criar senhas com estes parâmetros. Uma dica simples, porém poderosa, é criar uma senha com uma palavra que existe e trocar determinadas letras por símbolos ou números. Por exemplo, “!” no lugar de “i”, “3” no lugar de “e”, “4” no lugar de “a”, “0” no lugar de “o” etc. Supondo que você queira criar uma senha a partir da palavra “marimbondo”, ela poderia ser grafada como “M4r!m30nd0”. Torna-se muito difícil de ser quebrada com um programa de tentativa de senhas e, ao mesmo tempo, é relativamente fácil de ser memorizada usando esse método sugerido.

E não se esqueça de que você não deve escrever senhas em pedacinhos de papel nem deixá-las perto do seu computador, pois qualquer um que tenha acesso ao seu espaço de trabalho poderá copiá-las.