Como proteger o website e os contactos dos clientes
A segurança continua depois da publicação. O website, o alojamento, o domínio e o email precisam de cuidados regulares e de responsáveis definidos.
Neste artigo
Começa pelas contas que controlam o projeto
Mantém o domínio, o alojamento e o email em contas identificadas, com palavras-passe diferentes. Ativa autenticação multifator quando o fornecedor a disponibiliza. Guarda os meios de recuperação num local protegido e limita os acessos de cada pessoa ao que precisa de fazer.
No início de um trabalho, confirma quem pode autorizar alterações e quem recebe os avisos de renovação. Quando uma colaboração termina, revê as permissões. Ter o website atualizado não resolve uma conta de email comprometida.
Pede apenas os dados necessários
Num primeiro contacto, nome, email e uma explicação do projeto podem ser suficientes. Evita pedir documentos, dados de pagamento ou informação sensível num formulário geral. Explica a finalidade e disponibiliza a política de privacidade junto do envio.
A proteção técnica deve ser validada no servidor: campos e tamanhos permitidos, controlo de origem, proteção contra pedidos forjados, limites de tentativas e medidas contra automação. Um CAPTCHA complementa estes controlos; não substitui os restantes. As credenciais de envio pertencem à configuração privada do servidor, nunca ao código entregue ao navegador.
Confirma o HTTPS e o percurso do email
HTTPS com configuração adequada protege o transporte entre o navegador e o servidor. Isso não garante, por si só, que a aplicação ou as contas sejam seguras. Um formulário pode ainda depender de um serviço de email, com os seus próprios acessos e cópias de segurança.
Define um destinatário conhecido, usa uma ligação de envio autenticada e não deixes o visitante escolher livremente destinatários ou anexos. A mensagem de sucesso deve corresponder à aceitação pelo serviço de envio; não prova que o email já chegou à caixa de entrada ou foi lido.
Combina uma rotina de manutenção
A proposta de manutenção deve dizer o que é atualizado, com que frequência são feitas cópias, durante quanto tempo são conservadas e como pedir ajuda. Faz também um teste de recuperação: um backup só pode ser avaliado quando se confirma que é utilizável.
Revê os contactos recebidos e elimina os que deixaram de ser necessários, de acordo com as obrigações aplicáveis. Define quem responde a um incidente e como contactar o alojamento. Não existe um website invulnerável; o objetivo é reduzir a exposição, detetar problemas e conseguir recuperar.
