Weboldal biztonság: HTTPS, lejárt tanúsítványok és kiszivárgó verziószámok 87 hargitai céges oldalon

A weboldal biztonság HTTPS-sel kezdődik, de nem ott ér véget. Nagy része kívülről nem látszik, egy része viszont igen: a tanúsítvány, az átirányítás, a hibaoldalak és az, hogy a szerver mennyit árul el magáról. A 100 hargitai cég weboldalát felmérő sorozat harmadik részében ezt a látható réteget mértem meg a 87 oldalon, amelynek van weboldala.

Fontos: ez nem behatolásteszt. Egyetlen oldalt sem próbáltam feltörni, csak azt néztem meg, amit bármelyik látogató böngészője is lát. Egy kiszivárgó verziószám önmagában nem jelenti, hogy az oldal sebezhető, de megmutatja, hol érdemes utánanézni.

Hogyan mértem?

A mérés 2026. szeptember 27-én készült. A minta: a Termene 2025-ös árbevétel-toplistájának 50 legnagyobb hargitai cége és 50 kkv különböző ágazatokból, ebből 87-nek van weboldala. Egy saját szkripttel kérdeztem le a tanúsítványt (érvényesség, kiállító, lejárat), a http-cím átirányítását és a szerver válaszfejléceit, a nyitóoldalt pedig egy Playwright-alapú böngészővel töltöttem be.

Korlátok: a kkv-félben csak működő weboldalú cégek vannak, ezért a hibás oldalak aránya a két csoport között nem összevethető. Minden oldalt egyszer mértem, egy aznapi időszakos hiba is belekerülhetett.

Weboldal biztonság HTTPS nélkül: tanúsítvány és átirányítás

A 87 oldalból 82-nek érvényes a tanúsítványa. A többi:

• 3 oldal tanúsítványa érvénytelen: kettő lejárt, egy pedig más névre szól, mint a domain. A látogató ilyenkor egy teljes képernyős figyelmeztetést lát, és a legtöbben ott visszafordulnak.
• 2 oldalon a HTTPS-kapcsolat létre sem jött, ezek csak titkosítatlanul érhetők el.

Az érvényes tanúsítványú 82 oldalból 11 (13%) nem irányít át a titkosítatlan http-címről a https-re. Aki a böngészőbe csak a domaint írja be, vagy egy régi linkre kattint, az titkosítatlan oldalra érkezik, ahol a böngésző „Nem biztonságos" jelzést mutat. A nagy cégeknél ez az arány 22%, a kkv-knál 8%.

A pénz nem lehet kifogás: a 81 működő oldalból 69 ingyenes Let's Encrypt tanúsítványt használ. A tanúsítvány automatikusan megújul, ha a tárhely jól van beállítva, az átirányítás pedig egyetlen szabály.

Hibaoldalak a nyitóoldal helyén

A 87 oldalból 3 nyitóoldala hibakódot adott (500, 503 és 403). Az 500-as és az 503-as szerverhibát jelent. A 403-as lehet egy tűzfal is, ami az automatizált böngészőt kiszűrte, ezt kívülről nem lehet eldönteni.

Az érvénytelen tanúsítvánnyal együtt 6 oldal nem mutatott tartalmat, és mind a 6 a nagy cégek közül való: a top 50 megmért oldalainak 16%-a. Egy ilyen cégnél valószínűleg senki nem tudja, hogy a weboldal nem működik, mert a munkatársak nem a weboldalon keresztül dolgoznak.

Kiszivárgó szerver- és PHP-verziók

A szerver a válaszfejlécben gyakran elárulja, milyen szoftvert futtat. Ez önmagában nem hiba, de ha a verziószám is látszik, egy automatizált támadó ez alapján válogat.

• 8 oldal elárulja a PHP-verzióját. Ebből 6 olyan PHP-verzió (7.2, 7.3, 7.4, 8.0 és kétszer 8.1), ami már nem kap biztonsági frissítést a PHP hivatalos támogatási táblázata szerint. A 8.1-es ág 2025 végén esett ki.
• 8 oldal a webszerver verziószámát is kiírja, köztük több éves nginx- és Apache-verziókat.

Egy fontos megjegyzés: a Linux-disztribúciók gyakran a régi verziószám megtartásával javítják a biztonsági hibákat, ezért egy régi Apache-verziószám nem biztos, hogy sebezhető szervert jelent. A PHP-nál viszont a támogatás vége valódi határ. A verziószám elrejtése egy beállítás, a PHP frissítése pedig a tárhelyen általában egy választógomb, ha az oldal kódja bírja.

Régi WordPress-verzió látható

A részletes méréssel vizsgált 77 működő oldalból 39 WordPress. Ebből 28 kiírja a pontos verziószámát a forráskódba, és ebből:

• 14 a legfrissebb, 7.1.2-es verziót futtatja;
• 14 régebbit, ebből 6 az 5.x vagy még régebbi ágon van, amelyek évekkel ezelőtt jelentek meg.

A WordPress csapata hivatalosan csak a legfrissebb verziót támogatja. A régi ágak kaphatnak még javításokat, de erre nincs garancia, és egy 5.x-es alaprendszer mellett a bővítmények és a téma is ritkán frissek. Hogy miért kell rendszeres WordPress-karbantartás, azt itt írtam le.

Mit érdemes most megnézni a saját oldaladon?

• Írd be a böngészőbe a domaint http://-vel: átvisz a https://-es címre?
• Kattints a lakatra: meddig érvényes a tanúsítvány, és megújul-e automatikusan?
• A böngésző fejlesztői eszközeiben (F12 → Network) nézd meg a nyitóoldal válaszfejléceit: látszik-e X-Powered-By: PHP/…?
• A forráskódban (Ctrl+U) keress rá: generator. Ha ott egy WordPress-verzió áll, az a legfrissebb?

A biztonság nem áll meg a weboldalnál: ha a céged e-mailjei nincsenek hitelesítve, bárki küldhet levelet a nevedben. Ez velem is megtörtént, és leírtam, hogyan javítottam.

Ha ezek közül valamelyiket nem tudod ellenőrizni, írd meg az oldalad címét, és megnézem. A havidíjas karbantartásban a tanúsítvány, a PHP-verzió és a WordPress-frissítések figyelése alapból benne van.