Ny hjemmeside på WordPress: skal den testes?

En ny hjemmeside er ikke automatisk et oplagt mål for en penetrationstest. Om den bør testes, afhænger af, hvad siden gør: om den kun viser information, eller om den har login, formularer, betaling eller forbindelse til andre systemer i virksomheden.

En side, der alene præsenterer virksomheden, har som regel mere brug for god drift end for en test. En side med brugerkonti, kundedata eller integration til ERP-systemet er derimod en webapplikation, og så er spørgsmålet om test relevant. Det samme gælder, når siden er bygget med mange udvidelser, som virksomheden ikke selv har overblik over.

Hvad siden gør, afgør behovet

Begynd med at beskrive hjemmesidens funktioner i almindeligt sprog. Spørgsmålene er enkle, men svarene afgør, hvad der står på spil:

Kun information · tekster, billeder og kontaktoplysninger uden login for besøgende.
Formularer · kontaktformularer, tilmeldinger eller upload af filer, hvor besøgende sender data til virksomheden.
Brugerkonti · kunder eller partnere, der logger ind og ser egne oplysninger.
Betaling · en webshop eller betaling for tilmeldinger.
Integrationer · forbindelse til ERP-systemet, et nyhedsbrevssystem eller et kundesystem.

Jo længere ned på listen siden kommer, jo mere ligner den kundeportalen eller webshoppen, og jo mere relevant bliver en test. Hvordan en test af en webapplikation bestilles, er beskrevet i → Penetrationstest af webapplikationer.

Udvidelserne er en del af siden

En hjemmeside på WordPress består sjældent kun af selve systemet. Tema, plugins og andre udvidelser tilføjer funktioner, og de er skrevet af mange forskellige udviklere. Hver udvidelse bliver en del af den kode, siden kører, og den kan indeholde fejl, som virksomheden ikke har indflydelse på.

For bestilleren betyder det, at listen over udvidelser hører med i forberedelsen. Hvilke er installeret, hvilke er i brug, og hvem holder dem opdateret? En udvidelse, der ikke længere bruges, men stadig er installeret, er en del af det, en angriber kan møde. Det gælder også udvidelser, som ikke længere udvikles af den, der skrev dem. De får ingen rettelser, og det er en oplysning, virksomheden selv kan finde frem til uden en test. → Plugins og tredjepartskode

Driften betyder lige så meget som testen

En hjemmeside ændrer sig hele tiden. Systemet, temaet og udvidelserne får nye versioner, og nogle af dem retter sikkerhedsfejl. En test viser tilstanden på et tidspunkt, men den holder ikke siden opdateret bagefter.

Afklar derfor, hvem der har ansvaret for driften. Er det webbureauet, der byggede siden, hostingfirmaet, der kører den, eller en medarbejder hos jer? Hvis ingen har opgaven skrevet ind i en aftale, er det et større problem end mange fund i en rapport. Forskellen mellem en test og en løbende kontrol er beskrevet i → Sårbarhedsscanning, sikkerhedstjek eller penetrationstest?.

Hostingfirmaet kan have egne sikkerhedsforanstaltninger, men de dækker ikke nødvendigvis den kode, virksomheden har valgt at installere. → Hostingfirmaet tester for os: er det nok?

Når en test giver mening

En penetrationstest af hjemmesiden giver mening, når siden behandler oplysninger, der skal beskyttes, eller når den er forbundet med systemer, som er vigtige for virksomheden. Det kan også være relevant, hvis en kunde eller en samarbejdspartner beder om dokumentation, eller hvis siden er bygget med særlige funktioner, som er udviklet til jer.

Testen bør så rette sig mod de funktioner, der betyder noget: login og adgangskoder, adskillelse mellem brugere, formularer, der modtager data, og forbindelsen til andre systemer. Administrationsdelen hører også med, fordi den giver adgang til at ændre hele siden. OWASP Top 10 er en udbredt oversigt over risikoområder i webapplikationer og kan bruges som fælles sprog, når dækningen aftales. Den er ikke en tjekliste, som en test automatisk gennemgår punkt for punkt. → Login og adgangskoder i testen

Før eller efter lanceringen

En test før lanceringen kan finde fejl, mens de er lette at rette, og før rigtige kunder bruger siden. Den kræver, at siden er færdig nok til, at testen undersøger det, der faktisk skal i drift. En test af en halvfærdig side kan overse funktioner, der kommer til i den sidste uge. En test efter lanceringen undersøger den rigtige side, men den kræver, at testen planlægges, så besøgende og kunder ikke mærker den. Aftal i så fald et tidsrum og en kontaktperson, der kan stoppe testen, hvis noget opfører sig uventet.

Hvis siden testes på en kopi, skal kopien svare til den side, der lanceres. Udvidelser, indstillinger og integrationer skal være de samme, ellers gælder rapporten en anden side. → Penetrationstest i produktion eller testmiljø

For en webshop gælder der særlige forhold omkring betaling og kundedata. → Penetrationstest før lancering af en webshop

Spørgsmål til webbureauet før lanceringen

Webbureauet, der bygger siden, ved mest om, hvordan den er sat sammen. Brug den viden, før der tages stilling til en test. Spørgsmål, der kan stilles:

Hvilke udvidelser er brugt, og hvorfor er netop de valgt?
Er der funktioner, som er udviklet specielt til os?
Hvem har administratoradgang, og kræver den tofaktorgodkendelse?
Hvem opdaterer siden efter lanceringen, og er det aftalt skriftligt?

Svarene kan i sig selv afsløre forhold, som bør rettes. De gør det også lettere at afgrænse en eventuel test, fordi det bliver tydeligt, hvor siden adskiller sig fra en standardopsætning.

Det skal I lade være med

At teste en ren informationsside i stedet for at sikre driften · opdatering og ansvar giver mere værdi her.
At glemme listen over udvidelser · det, der er installeret, er en del af siden, også når det ikke bruges.
At antage, at hostingfirmaet dækker alt · serveren og den installerede kode er to forskellige ansvar.
At teste en side, der ikke er færdig · funktioner, der kommer til senere, er ikke med i rapporten.
At lade administrationsdelen stå uden for · den giver adgang til hele siden og hører med i vurderingen.

Hvad kan og ikke kan konkluderes

En test kan vise, om de undersøgte funktioner, udvidelser og indstillinger havde svagheder på testtidspunktet. Den kan ikke sige noget om nye versioner, nye udvidelser eller ændringer, der kommer bagefter. En hjemmeside, der ikke vedligeholdes, kan få nye svagheder kort efter en test uden fund.

Rapporten bør derfor angive, hvilken version af siden og hvilke udvidelser der indgik, så det senere kan vurderes, om resultatet stadig er relevant.