Die ersten zehn Sekunden: die Domain
Ohne eine einzige Seite zu laden, kann jeder die öffentlichen Einträge Ihrer Domain abfragen. Zwei davon zeigen, ob Ihre E-Mails gefälscht werden können.
Ein fehlender Eintrag zur Absenderrichtlinie (SPF) oder einer, der mit einer nachgiebigen Regel endet, bedeutet, dass jeder E-Mails versenden kann, die scheinbar von Ihrer Adresse kommen.
Ein fehlender Durchsetzungseintrag (DMARC) bedeutet, dass empfangende Server keine Anweisung erhalten, was mit Fälschungen geschehen soll.
Das Zertifikat hinter dem Schloss-Symbol hat ein Ablaufdatum. Liegt dieses Datum nur wenige Tage entfernt, ist das ein deutliches Zeichen, dass niemand es im Blick hat.
Dasselbe gilt für eine Website, die sowohl mit als auch ohne www lädt und sich nie auf eine Variante festlegt. Das halbiert Ihre Stellung in Suchmaschinen.
Die nächsten zwanzig: Dateien für Maschinen
Auf den meisten Websites liegen ein paar kleine Dateien an festen Adressen. Die vier Dateien, auf die niemand verlinkt behandelt jede davon. Diese drei verraten am meisten:
- robots.txt listet auf, was Crawler nicht lesen dürfen. Damit ist sie auch eine Liste dessen, was die Organisation lieber nicht gefunden sähe.
- Die Sitemap listet jede öffentliche Seite mit dem Datum ihrer letzten Änderung auf. Jeder kann sehen, wie oft die Website tatsächlich aktualisiert wird.
- security.txt sagt Sicherheitsforschenden, an wen sie sich wenden können. Die meisten Websites haben keine.
Die nächsten zwanzig: die Plattform
Eine mit WordPress gebaute Website zeigt das auf ein Dutzend Arten: die Pfade, von denen ihre Stylesheets laden, die Versionsnummern daran, eine Meta-Zeile im Kopf der Seite. Nichts davon ist für sich ein Problem.
Die folgenden drei können es sein. Ein automatischer Scanner prüft sie alle in kürzerer Zeit, als Sie zum Lesen dieses Satzes brauchen:
- Die Benutzerliste gibt die Anmeldenamen des Personals heraus. Anmeldenamen sind die halbe Anmeldung erklärt, warum das wichtig ist.
- Die alte Fernschnittstelle, xmlrpc.php, ist möglicherweise noch eingeschaltet und beantwortet Anfragen.
- Die Mediathek liefert möglicherweise Sitzungsunterlagen des Vorstands und Spenderlisten an jeden aus, der die Adresse errät. Ihre Mediathek ist öffentlich zeigt, wie.
Die letzten zehn: die Seite selbst
Die Jahreszahl im Copyright in der Fußzeile ist der schnellste Hinweis darauf, ob jemand die Website pflegt.
Die Antwort-Header zeigen, welche Sicherheitsvorkehrungen der Server mitschickt. Meist sind es keine.
Messungen von Geschwindigkeit und Barrierefreiheit auf der Startseite zeigen, wie gut die Website für Menschen am Smartphone und für Menschen mit Screenreader funktioniert.
Nach einer Minute kennt jemand mit schlechten Absichten Ihre Plattform, die Anmeldenamen Ihres Personals, wie gut die Website gepflegt wird, wie Ihre E-Mail eingerichtet ist und wo Ihre vertraulichen Dokumente liegen könnten.
Alles davon stammt aus öffentlichen Informationen. Niemand hat ein einziges Passwort erraten.
Was Sie beheben und was Sie hinnehmen sollten
Beheben Sie diese, in dieser Reihenfolge:
- Die E-Mail-Einträge, weil gefälschte E-Mails von Ihrer Domain anderen Menschen schaden.
- Die Benutzerliste und die Fernschnittstelle, weil sie zusammen eine öffentliche Website zum Ziel für das Erraten von Passwörtern machen.
- Jedes Dokument in der Mediathek, das nie öffentlich sein sollte.
- Den Ablauf des Zertifikats, indem Sie das Datum einer namentlich benannten Person zuordnen.
Versuchen Sie nicht zu verbergen, dass die Website auf WordPress läuft. Das macht Arbeit und täuscht niemanden, auf den es ankommt.
Lassen Sie die Daten in der Sitemap, wie sie sind. Wirken sie veraltet, nehmen Sie das als Anlass, regelmäßig zu veröffentlichen.
Eine alte Jahreszahl im Copyright bedeutet, dass niemand die Gewohnheit hat, die Fußzeile zu prüfen. Aktualisieren Sie die Jahreszahl und machen Sie die Prüfung dann zur Routine.
Führen Sie das kostenlose Audit für Ihre Website aus
Jede der obigen Prüfungen ist Teil des kostenlosen Audits. Es liest nur öffentliche Informationen und dauert ungefähr dieselbe Minute.
Es umfasst Ihre Domain-Einträge, das Zertifikat, die Dateien für Maschinen, die WordPress-Schnittstellen, die Mediathek, die Header und die Messungen der Startseite. Jeder Befund ist in klarer Sprache geschrieben, mit der Korrektur daneben.
Geben Sie unten Ihre Domain ein, um zu sehen, was ein Fremder sieht.
Leland Fiegel