Ein Programm, das vor jeder PHP-Datei läuft.
RE:SECURE prüft jede Anfrage, bevor die Website antwortet. Es braucht keine Datenbank, keinen fremden Dienst und setzt keine Cookies bei Besuchern. Gespeichert wird nur eine Kennung, aus der sich die IP-Adresse nicht zurückrechnen lässt.
Es passt für jede Website mit PHP am eigenen Webspace: eigene Apps, Formulare, Kundenkonten, Buchung und Bezahlung.
Jeder Edition mit PHP, als eigener Posten im Angebot.
Einzeln buchbarFür bestehende Websites mit PHP, auch wenn sie nicht von RE:WEB™ stammen.
Was abgefangen wird.
- Aufrufe von rund 40 Adressen, die es auf der Website gar nicht gibt, etwa wp-login.php, .env, .git oder Sicherungsdateien. Ein Treffer sperrt die Quelle sofort einen Tag.
- Bekannte Angriffsprogramme, erkannt an ihrer Browserkennung.
- Eingeschleuster Datenbank-Code, Skripte, Pfade aus dem Ordner heraus und Befehle für den Server, in Adresse, Formularfeldern, Cookies und Herkunft.
- Mehr als 120 Aufrufe oder 10 Formulare in einer Minute werden gebremst.
- Eine Wache vergleicht jede Stunde alle Dateien am Webspace und meldet neue oder veränderte Dateien per Mail.
- Drei Verstöße in zehn Minuten sperren die Quelle eine Stunde. Jede weitere Sperre dauert viermal so lang, höchstens 30 Tage.
Angriffe, Sperren und Dateien auf einen Blick.
Die Übersicht liegt auf der eigenen Website, geschützt durch ein Passwort mit mindestens 14 Zeichen. Sie zeigt die abgewiesenen Anfragen, die aktiven Sperren, den Stand der Dateien und die Einrichtung. Eine Sperre lässt sich dort jederzeit aufheben.
Nach drei falschen Eingaben kommt eine Mail an die hinterlegte Adresse, mit einem einmaligen Code. Damit wird ein neues Passwort gesetzt. Der Code gilt 24 Stunden und funktioniert einmal.
BerichteEin Wochenbericht per Mail, dazu eine Meldung, sobald sich Dateien am Webspace verändern.
Von der Einrichtung bis zur Übergabe.
- Einrichtung am Webspace, danach läuft der Schutz eine Woche im Lernmodus und protokolliert, ohne zu sperren.
- Eine Woche später wird die Liste der abgewiesenen Anfragen durchgesehen, Ausnahmen werden nachgetragen, danach wird scharf geschaltet.
- Übergabe: Das Passwort für die Übersicht wird selbst gewählt, mindestens 14 Zeichen, die Meldungen laufen auf das eigene Postfach. Ab der Übergabe läuft der Schutz in eigener Verantwortung.
Für Websites von RE:WEB™.
RE:SECURE wird nur auf Websites eingerichtet, die bei RE:WEB™ entstanden sind. Nur dort sind Aufbau, Dateien und Pfade bekannt, und nur dann lässt sich der Schutz ohne Nebenwirkungen scharf schalten. Für fremde Websites wird RE:SECURE nicht angeboten.
Geprüft mit PHP 8.4 und 8.5 bei world4you. Wird der Webspace später auf eine neue PHP-Hauptfassung umgestellt, ist ein Durchlauf aller Seiten sinnvoll. Zeigt eine Seite danach einen Fehler, genügt es, die Zeile auto_prepend_file in der .user.ini zu löschen, dann läuft die Website sofort wieder wie vorher. Eine Anpassung des Programms an eine neue PHP-Fassung ist im Einmalpreis von 1.670 € nicht enthalten.
Auf Websites ohne PHP, etwa bei Baukastensystemen, läuft der Schutz nicht.
Bei WordPressDort passen die Fallen für wp-login.php und wp-admin nicht, dafür gibt es eigene Programme.
Was neben dem Schutz eingerichtet wird.
- Sicherung und Wiederherstellung. Tägliche Sicherung von Dateien und Datenbank, einmal im Jahr ein Wiederherstellungsversuch, damit feststeht, dass sie funktioniert.
- Sichere Kopfzeilen im Browser. HSTS, Content-Security-Policy, X-Frame-Options und Referrer-Policy, gegen Angriffe, die im Browser des Besuchers stattfinden.
- Mailsicherheit. SPF, DKIM und DMARC für die Domain, damit Bestätigungen und Rechnungen ankommen und niemand Mails im Namen des Business verschickt.
- Daten im Ruhezustand. Angaben aus Formularen verschlüsselt abgelegt, mit Löschfristen, die automatisch greifen.
- Verfügbarkeit. Prüfung alle paar Minuten, mit Meldung per Mail, sobald die Website nicht antwortet.
Was in eigener Hand bleibt.
Der häufigste Einbruch läuft über ein übernommenes Konto, nicht über die Website. Deshalb gehört die Anmeldung in zwei Schritten beim Hoster, beim Zahlungsanbieter und beim Postfach zur Grundausstattung. Eingerichtet wird sie vom Business selbst.
Bei einem Vorfall mit personenbezogenen Daten gilt eine Frist von 72 Stunden. Die Meldung macht das Business, RE:WEB™ informiert umgehend.
Einmalig, mit Übergabe.
Einrichtung am Webspace, eine Woche Lernmodus, Durchsicht und Scharfschalten, dazu Sicherung, Kopfzeilen, Mailsicherheit und Verfügbarkeit. Das Passwort für die Übersicht wird selbst gewählt.