Ukratko: Statična web-stranica sastoji se od gotovih HTML, CSS i slikovnih datoteka koje web-poslužitelj samo isporučuje. Budući da na poslužitelju ne rade ni PHP ni baza podataka, ranjivosti poput PHP2Shella, SQL injectiona ili ubačenih web shellova kao rizik većim dijelom otpadaju. Za sigurnost statične web-stranice vrijede druge stvari: zaštićeni pristupi hostingu, domeni i alatima za izgradnju, održavane ovisnosti i pažljivo odabrane tuđe usluge. Osobito je prikladna za web-stranice koje se rijetko mijenjaju i ne trebaju korisničke račune.
Zašto se to pitanje postavlja upravo sada
PHP2Shell je mnogim tvrtkama pokazao koliko toga visi o jednoj jedinoj komponenti. Web-stranica tvrtke s deset stranica koja se ažurira jednom u tromjesečju radila je na istom PHP-u kao veliki web-shop i time bila izložena istoj kritičnoj ranjivosti. Prema medijskim izvješćima čak su i tijela vlasti i općine preventivno isključili web-stranice.
Tu se nameće pitanje: trebamo li za svoju web-stranicu uopće PHP na poslužitelju? Kod mnogih malih i srednjih poduzeća iskren je odgovor: za isporuku često ne. PHP pri svakom pozivu iznova generira stranicu iako se sadržaj tjednima nije promijenio. Kako se to tehnički odvija, opisuje Kako PHP generira web-stranicu. Što ranjivost sama znači, objašnjava Što je PHP2Shell?.
Kako statična web-stranica funkcionira
Kod statične web-stranice stranica se ne generira pri posjetu, nego unaprijed. Generator statičnih stranica, primjerice Hugo, Jekyll ili Eleventy, uzima tekstove, slike i predloške i od njih gradi gotove datoteke. Te se datoteke učitavaju na jednostavan web-poslužitelj ili content delivery mrežu, dakle distribuiranu mrežu za isporuku.
Za urednike ispred može stajati alat za uređivanje koji prima izmjene i pokreće ponovnu izgradnju. Djelomično se u tu svrhu koristi takozvani headless CMS, koji samo upravlja sadržajima i sam ne mora biti javno dostupan. Posjetitelj od toga ne vidi ništa; dobiva samo gotove datoteke.
Statična web-stranica i sigurnost u usporedbi
| Kriterij | Dinamički PHP CMS | Statična web-stranica |
|---|---|---|
| Programska logika na javnom poslužitelju | Da, pri svakom pozivu | Ne |
| Rizik zbog ranjivosti u PHP interpreteru | Da, kao kod PHP2Shella | Otpada na poslužitelju za isporuku |
| Baza podataka javno povezana | Da | Ne |
| Tipični ulazi | Dodaci, administratorska prijava, uploadi, poslužitelj | Pristupi hostingu, domeni, sustavu za izgradnju, tuđe usluge |
| Obrasci, pretraga, korisnički račun | Ugrađeni | Samo putem vanjskih usluga ili zasebnih funkcija |
| Trud održavanja za urednike | Malen, uobičajeno sučelje | Ovisi o uredničkom alatu |
| Održavanje | Redovita ažuriranja CMS-a, dodataka i PHP-a | Ažuriranja alata za izgradnju i ovisnosti |
| Prikladnost | Shopovi, portali, mnogo urednika, česte izmjene | Web-stranice tvrtke, odredišne stranice, dokumentacija |
Tablica pokazuje: napadna površina se premješta, ne nestaje. Umjesto javno dostupnog PHP poslužitelja morate zaštititi račun kod pružatelja hostinga, domenu, build pipeline i po potrebi urednički alat.
Koji rizici kod statičnih web-stranica ostaju
Prvo, pristupi. Tko preuzme račun za hosting, pristup domeni ili repozitorij koda, može promijeniti web-stranicu, posve bez PHP-a. Dvofaktorska prijava i osobni računi stoga su obvezni.
Drugo, ovisnosti. Generatori i predlošci često donose mnogo paketa, primjerice iz npm-a. Njih treba držati ažurnima jer kompromitirana ovisnost pri izgradnji može upisati zlonamjerni kod u gotove datoteke. Kako to organizirate, opisuje Održavanje ovisnosti ažurnima.
Treće, tuđe usluge. Usluge za obrasce, pretrage, alati za analitiku i uključene skripte rade u pregledniku posjetitelja ili na tuđim poslužiteljima. Svaka od tih usluga je odnos povjerenja, i s gledišta zaštite podataka.
Četvrto, strana preglednika. I statična stranica trebala bi postavljati sigurnosna zaglavlja, primjerice Content-Security-Policy, koja određuje koje se skripte smiju učitavati. Osnove su u članku Sigurnosna zaglavlja za web-stranice.
Prije prelaska provjerite koje funkcije Vaša web-stranica doista koristi. Često ih je manje nego što se misli: stranice, slike, kontaktni obrazac. Tada je put do statične web-stranice kraći nego što se isprva čini.
Kome se prelazak isplati, a kome ne
Statična web-stranica dobro je prikladna za stranice tvrtke ograničenog opsega, odredišne stranice za kampanje, dokumentaciju proizvoda i stranice o karijeri. Prelazak se osobito isplati ako dosadašnja web-stranica radi na staroj verziji PHP-a, a nadogradnja bi ionako bila na redu.
Manje je prikladna za web-shopove, korisničke portale, sustave rezervacija i web-stranice s mnogo urednika koji objavljuju svakodnevno. Tu dinamički sustav ostaje smislen. Mješoviti oblik može pomoći: shop ostaje dinamičan i dobro ojačan, a savjetnici i stranice tvrtke isporučuju se statično.
Često podcijenjena prednost pokazuje se u kritičnom trenutku. Budući da se gotove datoteke u svakom trenutku mogu iznova izgraditi iz predložaka i sadržaja, manipulirana se web-stranica može brzo vratiti na poznato, čisto stanje. Preduvjet je da se sadržaji i predlošci nalaze u zaštićenom repozitoriju, da se izmjene razumljivo bilježe i da nitko ne uređuje datoteke izravno na poslužitelju.
Pružatelj usluga sigurnosti za prelazak nije obavezno potreban; to može preuzeti agencija ili razvojni programer. Ako je dosadašnja web-stranica bila kompromitirana, sadržaje ipak treba provjeriti prije preuzimanja. O tome govori Promijeniti CMS nakon hakiranja?.
Kako PHP SOS konkretno pomaže?
- Provjeravamo koje funkcije Vaša web-stranica stvarno treba i otvoreno kažemo je li statično rješenje prikladno.
- Kod prelaska osiguravamo pristupe hostingu, domeni i sustavu za izgradnju dvofaktorskom prijavom i osobnim računima.
- Provjeravamo tuđe usluge i postavljamo sigurnosna zaglavlja da je nova web-stranica dobro zaštićena i u pregledniku.
- Za PHP sustave koji ostaju preuzimamo ažuriranja i nadzor u ugovoru o sigurnosnom održavanju.
Zaključak
Statična web-stranica nije lijek za sve, ali je za mnoge stranice tvrtki najjednostavniji način da se riješimo cijele klase rizika. Gdje ne radi PHP, PHP2Shell ne može ništa. Dobivena sigurnost ipak drži samo ako se pristupi, ovisnosti i tuđe usluge shvaćaju jednako ozbiljno kao nekad poslužitelj.
Česta pitanja
Može li se statična web-stranica ipak hakirati?
Da. Otpada poslužiteljska programska logika, a time velika klasa napada. Napadljivi ipak ostaju pristupi hostingu, domeni i sustavu za izgradnju, uključene tuđe usluge i alati kojima se stranica izrađuje.
Može li statična web-stranica imati kontaktne obrasce?
Da, putem vanjske usluge za obrasce ili male, zasebno vođene funkcije. Tada obrada podataka leži kod te usluge. Razjasnite zaštitu podataka i obradu po nalogu prije nego što je uključite.
Mogu li urednici sami održavati statičnu web-stranicu?
S prikladnim uredničkim alatom da. Mnoga rješenja nude sučelje za uređivanje iz kojeg se stranica nakon toga iznova generira. Za timove koji svakodnevno mijenjaju mnogo sadržaja klasičan je CMS ipak često ugodniji.
Isplati li se prelazak za web-shop?
Najčešće ne u potpunosti. Košarica, korisnički račun i plaćanje trebaju poslužiteljsku logiku. Moguće je dijelove poput savjetnika ili stranica tvrtke isporučivati statično, a shop voditi zasebno.