Securitatea site-ului: HTTPS, certificate expirate și versiuni afișate pe 87 de site-uri de firme din Harghita

Securitate site HTTPS: totul începe cu lacătul din bara de adrese, dar nu se oprește acolo. Cea mai mare parte a securității nu se vede din exterior, o parte însă da: certificatul, redirecționarea, paginile de eroare și cât de mult spune serverul despre el însuși. În a treia parte a seriei despre site-urile a 100 de firme din Harghita am măsurat acest strat vizibil pe cele 87 de site-uri existente.

Important: nu e un test de penetrare. Nu am încercat să intru în niciun site, am verificat doar ce vede browserul oricărui vizitator. O versiune afișată nu înseamnă automat că site-ul e vulnerabil, dar arată unde merită verificat.

Cum am măsurat

Măsurătoarea a fost făcută pe 27 septembrie 2026. Eșantionul: cele mai mari 50 de firme din Harghita din topul Termene după cifra de afaceri din 2025 și 50 de IMM-uri din domenii diferite, dintre care 87 au site. Cu un script propriu am verificat certificatul (valabilitate, emitent, expirare), redirecționarea adresei http și antetele de răspuns ale serverului, iar pagina principală am încărcat-o cu un browser bazat pe Playwright.

Limite: în jumătatea de IMM-uri sunt doar firme cu site funcțional, deci proporția site-urilor cu erori nu se poate compara între grupuri. Fiecare site l-am măsurat o singură dată, așa că o eroare temporară din acea zi poate apărea în cifre.

Securitate site HTTPS: certificat și redirecționare

Din cele 87 de site-uri, 82 au certificat valid. Celelalte:

• 3 site-uri au certificat invalid: două expirate, iar unul emis pe alt nume decât domeniul. Vizitatorul vede un avertisment pe tot ecranul, iar cei mai mulți se întorc de acolo.
• Pe 2 site-uri conexiunea HTTPS nu s-a stabilit deloc, acestea sunt accesibile doar necriptat.

Din cele 82 de site-uri cu certificat valid, 11 (13%) nu redirecționează de la adresa http necriptată la https. Cine scrie doar domeniul în browser sau dă click pe un link vechi ajunge pe pagina necriptată, unde browserul afișează „Nesigur". La firmele mari proporția e 22%, la IMM-uri 8%.

Banii nu pot fi o scuză: din cele 81 de site-uri funcționale, 69 folosesc certificatul gratuit Let's Encrypt. Certificatul se reînnoiește automat dacă găzduirea e configurată corect, iar redirecționarea e o singură regulă.

Pagini de eroare în locul paginii principale

Din cele 87 de site-uri, 3 pagini principale au răspuns cu un cod de eroare (500, 503 și 403). 500 și 503 înseamnă eroare de server. 403 poate fi și un firewall care a blocat browserul automat, lucru care nu se poate stabili din exterior.

Împreună cu certificatele invalide, 6 site-uri nu au afișat conținut, și toate 6 sunt ale unor firme mari: 16% din site-urile măsurate din top 50. La o astfel de firmă probabil nimeni nu știe că site-ul nu merge, pentru că angajații nu lucrează prin site.

Versiuni de server și PHP afișate

Serverul spune adesea în antetul de răspuns ce software rulează. Asta nu e o greșeală în sine, dar dacă se vede și numărul versiunii, un atacator automat alege după el.

• 8 site-uri își afișează versiunea PHP. Dintre ele, 6 rulează versiuni PHP (7.2, 7.3, 7.4, 8.0 și de două ori 8.1) care nu mai primesc actualizări de securitate, conform tabelului oficial de suport PHP. Ramura 8.1 a ieșit din suport la sfârșitul lui 2025.
• 8 site-uri afișează și versiunea serverului web, printre ele versiuni nginx și Apache vechi de câțiva ani.

O precizare importantă: distribuțiile Linux corectează des problemele de securitate păstrând numărul vechi al versiunii, deci o versiune Apache veche nu înseamnă sigur un server vulnerabil. La PHP însă, sfârșitul suportului e o limită reală. Ascunderea versiunii e o setare, iar actualizarea PHP în panoul de găzduire e de obicei o simplă selecție, dacă și codul site-ului o suportă.

Versiune WordPress veche, la vedere

Din cele 77 de site-uri funcționale verificate în detaliu, 39 sunt WordPress. Dintre ele, 28 își afișează versiunea exactă în codul sursă, iar dintre acestea:

• 14 rulează cea mai nouă versiune, 7.1.2;
• 14 rulează una mai veche, iar 6 sunt pe ramura 5.x sau pe una și mai veche, apărute cu ani în urmă.

Echipa WordPress susține oficial doar ultima versiune. Ramurile vechi pot primi încă remedieri, dar fără nicio garanție, iar lângă un nucleu 5.x rareori sunt la zi extensiile și tema. De ce e nevoie de mentenanță WordPress am explicat aici.

Ce merită verificat acum pe site-ul tău

• Scrie domeniul în browser cu http://: te duce la adresa https://?
• Dă click pe lacăt: până când e valabil certificatul și se reînnoiește automat?
• În instrumentele pentru dezvoltatori ale browserului (F12 → Network), uită-te la antetele paginii principale: apare X-Powered-By: PHP/…?
• În codul sursă (Ctrl+U) caută generator. Dacă apare o versiune WordPress, e cea mai nouă?

Securitatea nu se oprește la site: dacă e-mailurile firmei nu sunt autentificate, oricine poate trimite mesaje în numele tău. Mi s-a întâmplat și mie și am scris cum am rezolvat.

Dacă nu poți verifica una dintre acestea, trimite-mi adresa site-ului și mă uit eu. În mentenanța lunară urmărirea certificatului, a versiunii PHP și a actualizărilor WordPress e inclusă din start.