Creé un sitio web mediante la contratación externa. ¿Cómo puedo estar seguro de la seguridad del sitio web?

Esto depende del tipo de vulnerabilidad que sospeche. Por ejemplo, si su sitio tiene ciertas transacciones de pago, observe si cumple con las normas de cumplimiento PCI-DSS.

Algunas preguntas para hacer:

1. ¿Cómo se protegen sus datos?
2. ¿Cuál es su política de creación de contraseñas?
3. ¿Cómo se almacenan los datos protegidos?
4. ¿Están cifrados los datos que viajan a través de redes públicas?
5. Qué política de seguridad de la información se mantiene.

EN OTRA NOTA, las pautas de OWASPS son una de las mejores a seguir y con sus herramientas de prueba puede verificar algunas de las vulnerabilidades

Para hacer el trabajo preliminar inicial, puede usar sitios de vulnerabilidad en línea gratuitos y luego contar con la asistencia de entidades como utest.

¡Mis 2 centavos!

Mrinal Singh | LinkedIn

Aqui esta mi experiencia

Recientemente, mi equipo implementó un proyecto en el servidor del cliente. Al igual que cualquier otro equipo de desarrollo, mi equipo usó un nombre de usuario y una contraseña muy fáciles para el panel de administración del sitio de WordPress para fines de desarrollo, por supuesto, también usamos FTP, cPanel de ese servidor.
Una vez que el proyecto se terminó como una práctica estándar, le aconsejé a mi cliente que cambiara las Credenciales del Panel de administración, FTP y cPanel.
El cliente que había estado en el negocio de TI durante casi una década realmente apreció mis consejos y me contó una historia en la que era la víctima. Contrató a un desarrollador, le pagó una cantidad considerable para desarrollar una aplicación. Una vez que el proyecto se terminó e implementó, no se molestó en cambiar las credenciales del usuario administrador, que el desarrollador había estado utilizando durante la implementación.
Un día, su sitio fue pirateado, tuvo que pasar por un proceso largo y doloroso para que el sitio volviera a su estado original.
Si pudieras adoptar el siguiente proceso, puedes evitar estar en una situación como esta.

1. Cambie siempre las credenciales de los usuarios administradores del sitio, lo mejor es que simplemente pueda eliminar el usuario creado por el desarrollador durante el desarrollo.
2. Revise cuidadosamente cPanel y verifique que los usuarios tengan PHPMyAdmin, FTP: cambie las credenciales de todos los usuarios.
3. Siempre solicite al desarrollador que le proporcione archivos de código y script db, incluso si su desarrollador ha implementado el sitio en su servidor.
4. Utilice la Búsqueda de imágenes de Google para verificar si el diseño / banner / logotipo es el trabajo original del desarrollador / diseñador para evitar cualquier demanda posterior.

Una vez que verifique que todo está bien, marque el proyecto como completado, deje la revisión de acuerdo con la calidad del trabajo.

Siempre realice el mismo procedimiento, incluso si su desarrollador está haciendo los cambios menores.

Sus sugerencias y comentarios serán apreciados, no olvide agregar más puntos en sus comentarios.

Gracias,

Raheel Afzal

Puede solicitar a un tercero una auditoría de seguridad de “sombrero negro”. Básicamente, harán todo lo posible para entrar en su sitio web, pero se abstendrán de hacer ningún daño.
Es posible que desee estipular que pagará una cantidad mínima por el trabajo en sí, pero pagará una bonificación interesante por cada problema distinto que encuentren los piratas informáticos.
Descubrirá que hay bastantes vendedores de aceite de serpiente que simplemente ejecutarán un software estándar que se supone que verificará cualquier posible error. Tal prueba no es digna de su tiempo y su dinero, porque los resultados siempre están llenos de “falsos positivos”, es decir, advertencias que no tienen utilidad práctica alguna. Cuando escriba la descripción de su trabajo, debe especificar que está buscando administradores y programadores expertos del sistema, que utilizarán su experiencia en la búsqueda de errores reales, y no está interesado en “script kiddies”, que es el nombre despectivo para cualquiera que solo ejecutará un software escrito por otra persona sin una comprensión real de los problemas.
Un buen criterio: esté dispuesto a pagar si los piratas informáticos encuentran una manera de guardar archivos en su servidor web, almacenar datos en tablas de su base de datos teóricamente inaccesibles, desenterrar contraseñas, volcar la lista de usuarios registrados, ralentizar el servidor … Cosas como esas son Síntomas concretos de problemas en la configuración de su software, se le pueden demostrar fácilmente incluso si usted no es un ingeniero de software.

Debes concentrarte en:

1. Seguridad social
2. Seguridad del servidor y
3. Código del sitio web / seguridad de la base de datos.

No dude en enviarme los detalles del sitio web a: [correo electrónico protegido] y haré que nuestro equipo realice la auditoría.

¡Feliz de ayudar!