Securitatea site-ului: SSL/HTTPS, semne că e spart și ce faci

Aproape nimeni nu mă sună despre securitate înainte să se întâmple ceva. Mă sună după: site-ul redirectează spre o pagină ciudată, Google afișează un avertisment roșu, sau clienții spun că browserul le zice „site periculos”. Atunci devine urgență. Vestea bună e că majoritatea problemelor se previn cu câțiva pași simpli — și că, dacă ești deja spart, există un plan clar.

SSL/HTTPS: de ce nu e opțional

SSL (mai corect, TLS) e ce transformă http:// în https:// și pune lacătul în bara de adrese. Criptează traficul dintre vizitator și site, ca datele din formulare (nume, telefon, parole, plăți) să nu poată fi citite pe drum. Fără el, browserele moderne afișează „Not secure” lângă adresă — primul lucru pe care îl vede un client.

Nu e doar despre securitate. HTTPS e factor de ranking confirmat de Google, iar un avertisment „Not secure” alungă vizitatorii înainte să citească un rând. Practic, un site fără HTTPS pierde clienți și poziții în același timp.

Cât costă un certificat SSL

Cel mai probabil, zero. Certificatele Let's Encrypt sunt gratuite, standard în industrie și acceptate de toate browserele; majoritatea hostingurilor serioase le instalează și le reînnoiesc automat. Pentru un site obișnuit de firmă, un certificat DV (Domain Validation) gratuit e perfect suficient. Nu te lăsa convins să plătești sute de lei pe an pentru un certificat scump dacă nu ești bancă sau procesator de plăți.

Măsuri de prevenție care chiar contează

• HTTPS peste tot, cu redirect automat de la http și, ideal, HSTS activat.
• Actualizări la zi: pe WordPress, majoritatea spargerilor vin din pluginuri și teme neactualizate — nu din „hackeri geniali”.
• Parole tari și unice, plus autentificare în doi pași (2FA) pe hosting, panou de administrare și email.
• Backup automat, zilnic, stocat în altă parte decât serverul site-ului — ca să ai de unde restaura curat.
• Limitarea încercărilor de login și ascunderea paginii de administrare implicite.
• Un firewall de aplicație web (WAF) sau Cloudflare în față, care filtrează atacurile automate.
• Principiul minimului: fiecare cont are doar drepturile de care are nevoie, iar conturile vechi se șterg.

Observă un tipar: aproape totul de mai sus e mentenanță, nu magie. Un site lăsat neatins un an nu e „stabil”, ci o țintă care așteaptă. Aici contează și tehnologia: un site pe Next.js, fără zeci de pluginuri terțe, are o suprafață de atac mult mai mică decât un WordPress plin de extensii.

7 semne că site-ul tău e spart

• Redirectează vizitatorii spre pagini ciudate (adesea pariuri, farmacii, site-uri străine).
• Apar în Google pagini pe care nu le-ai creat, des în altă limbă (spam SEO).
• Google Search Console îți trimite un avertisment de „probleme de securitate”.
• Trafic sau vânzări în cădere bruscă, fără altă explicație.
• Nu te mai poți autentifica în panoul de administrare, deși parola e corectă.
• Fișiere noi sau modificate recent pe server, pe care nu le recunoști.
• Browserul sau antivirusul marchează site-ul drept „periculos” / „înșelător”.

Ce faci în primele ore, pas cu pas

Dacă ești spart, ordinea contează. Nu sări pași și nu curăța la întâmplare — riști să pierzi dovezi sau să reinfectezi site-ul.

• 1. Izolează: pune site-ul în mod mentenanță sau oprește-l temporar, ca să nu mai facă rău vizitatorilor și să nu fii penalizat mai tare.
• 2. Schimbă toate parolele: hosting, panou de administrare, baza de date, FTP/SSH și email-ul asociat. Toate, nu doar cea de admin.
• 3. Anunță hostingul: adesea au loguri și instrumente de scanare și pot vedea vectorul de intrare.
• 4. Identifică sursa: scanează de malware și verifică logurile ca să afli cum și când a intrat atacatorul.
• 5. Curăță sau, mai sigur, restaurează dintr-un backup făcut înainte de compromitere — apoi aplică imediat actualizările lipsă.
• 6. Cere reevaluarea la Google: din Search Console, la secțiunea de probleme de securitate, după ce ai curățat, ca să dispară avertismentul.
• 7. Monitorizează câteva săptămâni: atacatorii revin des dacă a rămas o portiță.

Dacă pașii de mai sus sună a prea mult, e normal — de asta curățarea unui site spart e o intervenție de specialitate, nu ceva de făcut în grabă la 2 noaptea.

De ce contează dincolo de partea tehnică

Un site spart nu e doar o problemă de IT. Google îl poate marca și alunga vizitatorii cu un ecran roșu; pozițiile SEO câștigate în luni de zile pot dispărea în câteva zile; iar clienții care văd „site periculos” rareori revin. Reputația se pierde mai repede decât datele.

Prevenția e incomparabil mai ieftină decât reparația. Un abonament de mentenanță — actualizări, backup zilnic și monitorizare — costă de la 150 RON/lună; curățarea de urgență a unui site spart, plus traficul și încrederea pierdute, costă mult mai mult.

Întrebări frecvente

Certificatul SSL e obligatoriu?

Practic, da. Fără HTTPS, browserele afișează „Not secure”, iar Google dezavantajează site-ul la poziționare. Pentru orice site care are măcar un formular de contact, e obligatoriu — și oricum e gratuit prin Let's Encrypt.

SSL-ul gratuit (Let's Encrypt) e la fel de sigur ca unul plătit?

Da, criptarea e identică. Diferența la certificatele scumpe ține de tipul de validare și de garanții, relevante pentru bănci sau magazine mari. Pentru un site obișnuit de firmă, certificatul gratuit oferă exact aceeași protecție tehnică.

Cum îmi dau seama dacă site-ul meu e spart?

Semne tipice: redirectări ciudate, pagini necunoscute indexate în Google, un avertisment în Search Console, căderi bruște de trafic sau imposibilitatea de a te loga. Dacă vezi oricare dintre ele, tratează-l ca urgență și urmează pașii de izolare și schimbare a parolelor.

Site-urile mici sunt și ele ținte?

Da, poate chiar mai des. Majoritatea atacurilor sunt automate: boți care scanează internetul după versiuni vechi de WordPress sau pluginuri vulnerabile, indiferent cât de mică e firma. Nu ești vizat personal — ești vizat pentru că ești ușor de spart.