SEO Водич Степ 7: Безбедност

Ова е Степ 7 од 13-те чекори SEO водич. Безбедноста не е само за заштита на корисниците — директно влијае на вашите резултати во пребарувањето. Google ја користи HTTPS како сигнал за рангирање од 2014, а очекувањата само се зголемија.

Повеќето сопственици на веб сајтови ја сметаат безбедноста за бинарна: "Имаме SSL, значи сме безбедни." Во стварноста, Google оценува десетици сигнали за безбедност. Сайтови со правилни безбедносни хедери, валидни сертификати и без мешан содржина се рангираат повисоко од оние со само основен SSL сертификат — се освен ако не се добиени исти услови.

Добрата вест: повеќето исправки за безбедност се конфигурации единствен пат. Поставете ги еднаш, и тие ќе ја заштитат вашата позиција за навек.

SSL Конфигурација

SSL (технички TLS) ја шифрира врската помеѓу вашиот сервер и посетителите. Од 2014, Google експлицитно потврдува HTTPS како сигнал за рангирање. Во 2026, недостигот на HTTPS не е само проблем со рангирањето — Chrome ги маркира HTTP сайтите како "Не безбедни" во адресната линија, уништувајќи го довербата на корисниците.

Барања за правилен SSL:

Барање	Зошто	Како да проверите
Валиден сертификат	Истечен = предупредување од прелистувачот = одбиени корисници	Проверете ја датумот на истекување
Полн ланец	Неповолни ланци не функционираат на некои уреди	SSL Labs тест
TLS 1.2+	Постари верзии имаат познати ранливости	SSL Labs тест
Без SHA-1	Депрецирана, прелистувачите ја отфрлаат	Детали за сертификатот
SAN покриеност	www и non-www мораат да бидат покриени	Детали за сертификатот
Автоматско обновување	Превенција на катастрофи при истекување	Let's Encrypt / конфигурација на провајдерот

Оценување на SSL:

100% = Валиден сертификат + Полн ланец + TLS 1.3 + Силен шифар + Автоматско обновување
  0% = Истечен или недостапен сертификат

Чести SSL грешки:

Сертификатот истекува без известување — Поставете мониторинг (Степ 6) најмалку 30 дена пред истекување
Неполн сертификат ланец — Серверот мора да испрати интермедионни сертификати, а не само листа
Мешан содржина — HTTPS страницата учитува HTTP ресурси (слики, скрипти, стилови)
Префрлувачки многу циклуси — HTTP → HTTPS → HTTP циклуси резултираат од некоректно конфигуриран CDN/проксy
Несоодветство помеѓу non-www и www — Сертификатот покрива едниот, но не и другиот

Брзо решение: Тргнете ја вашата домена преку SSL Labs (ssllabs.com/ssltest). Сè што е под "A" оценка има проблеми кои треба да се решат. Повеќето провајдери на хостинг ги исправуваат со едно кликнување.

Безбедносни Хедери

Безбедносните хедери се HTTP одговор хедери кои им даваат инструкции на прелистувачите како да се однесуваат кога го учитаат вашиот сајт. Тие ги спречуваат целосни категории на напади — а Google-овите бот-ови ги проверуваат.

Основните безбедносни хедери:

Политика за Безбедност на Содржината (CSP)

CSP е најмоќниот безбедносен хедер. Тоа им кажува на прелистувачите токму кои ресурси (скрипти, стилови, слики, фонтови) се дозволени да се учитаат на вашите страници.

Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' https://fonts.gstatic.com; connect-src 'self' https://api.example.com; frame-ancestors 'none';

Што CSP спречува:

Cross-site scripting (XSS) напади
Напади на инјекција на податоци
Clickjacking (преку frame-ancestors)
Неправилно извршување на скрипти (криптоминери, инекторни реклами)

Стратегија за имплементација на CSP:

Започнете со Content-Security-Policy-Report-Only (лога нарушувања без блокирање)
Следете извештаи за 1-2 недели
Додадете легитимни извори на бела листа
Превключете во режим на строгување
Додадете report-uri или report-to за тековно логирање на нарушувања

X-Frame-Options

Спречува вашиот сајт да биде вградена во iframe-ови на други домени (заштита од clickjacking).

X-Frame-Options: DENY

Или ако мора да дозволите исто-доменска рамка:

X-Frame-Options: SAMEORIGIN

X-Content-Type-Options

Спречува прелистувачите да ја проверат MIME типот (интерпретирање на датотеки како различни типови од декларирани).

X-Content-Type-Options: nosniff

Оваа една линија спречува напади каде што .jpg датотеката содржи скриен JavaScript што прелистувачот би можел да го изврши.

Referrer-Policy

Контролира колку референтни информации се испраќаат кога корисниците кликнуваат на линкови од вашиот сајт.

Referrer-Policy: strict-origin-when-cross-origin

Ова испраќа целосна URL адреса за исто-доменски барања, но само изворот (доменот) за крос-доменски барања. Балансира потребите за аналитика со приватноста.

Permissions-Policy

Контролира кои функции на прелистувачот (камера, микрофон, геолокација итн.) можат да се користат на вашиот сајт.

Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()

Оневозможувањето на функциите што не се користат спречува третиот странски скрипти да ги злоупотребуваат.

Пример за имплементација на хедер (Next.js):

// next.config.js
module.exports = {
  async headers() {
    return [{
      source: '/(.*)',
      headers: [
        { key: 'X-Content-Type-Options', value: 'nosniff' },
        { key: 'X-Frame-Options', value: 'SAMEORIGIN' },
        { key: 'Referrer-Policy', value: 'strict-origin-when-cross-origin' },
        { key: 'Permissions-Policy', value: 'camera=(), microphone=(), geolocation=()' },
        { key: 'Strict-Transport-Security', value: 'max-age=31536000; includeSubDomains; preload' },
      ]
    }]
  }
}

Имплементација на хедер (Apache .htaccess):

Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Имплементација на хедер (Nginx):

add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Брзо решение: Додадете ги сите 5 хедери одгоре во вашата конфигурација на серверот. Ова трае 5 минути и веднаш го подобрува вашиот безбедносен статус во било кој алат за скенирање.

HSTS Preload

HTTP Стрикна Транспортна Безбедност (HSTS) им кажува на прелистувачите секогаш да користат HTTPS за вашиот домен — дури и пред првото барање. Без HSTS, првото посетување на вашиот сајт може да користи HTTP (подложно на интерсепција) пред да се направи префрлување на HTTPS.

HSTS хедер:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Трите директиви:

Директива	Значење
`max-age=31536000`	Запомнете ова за 1 година (во секунди)
`includeSubDomains`	Применете и на сите поддомени
`preload`	Барајте вклучување во листи на прелистувачи

HSTS preload листа:

Универзална HSTS заштита. Прелистувачите испорачуваат со вградена листа на домени што мораат секогаш да користат HTTPS. Поднесувањето на вашиот домен до hstspreload.org значи:

Првичните посетители добиваат HTTPS веднаш (без HTTP → HTTPS префрлување)
Невозможно за напаѓачите да ја намалат врската
Трајна (тежок е за отстранување по поднесување)

Барања за HSTS preload:

Валиден HTTPS сертификат
Префрлете сите HTTP на HTTPS (вклучувајќи поддомени)
HSTS хедер со max-age >= 31536000
HSTS хедер вклучува includeSubDomains
HSTS хедер вклучува preload
Сите поддомени мораат да поддржуваат HTTPS

Внимание: Поднесете за preload само ако СИТЕ ваши поддомени поддржуваат HTTPS. Директивата includeSubDomains значи квалификуван HTTP само поддомен ќе стане недостапен.

Брзо решение: Ако веќе имате HTTPS на сите поддомени, додајте го полнометажниот HSTS хедер и поднесете до hstspreload.org. Обработката трае неколку недели, но заштитата е трајна.

Скенирање на Ранливости

Автоматизираното скенирање на ранливости идентификува познати безбедносни проблеми во вашиот стек пред напаѓачите да ги искористат.

Што проверува скенирањето на ранливости:

Стара софтверска верзија: WordPress, плугини, JavaScript библиотеки со познати CVE-и
Отворени датотеки: .env, .git, wp-config.php, бази на податоци
Испуштање на информации: Заглавија на сервиерска верзија, режим на дебуг, стекови на грешки
Стандардни акредитиви: Админ страници без овластување, стандардни лозинки
Отворени порти/услуги: Непотребни услуги изложени на интернет
Точки за инјекција: Формулари без CSRF заштита, непроверени внесувања

Чести ранливости по платформа:

Платформа	Главна Ранливост	Поправка
WordPress	Стари плугини	Автоматско обновување + WAF
Shopify	Дозволи на трети апликации	Аудит на списоците на апликации секој квартал
Next.js	Отворени API рути	Auth middleware + ограничување на стапка
Статички сайтови	Некоректна конфигурација на CDN	Проверете ги правилата за кеш
Прилагодено	SQL инјекција	Параметризирани барања

Честота на скенирање:

Дневно: Автоматизирано површинско скенирање (SSL, хедери, отворени датотеки)
Недељно: Проверка на ранливости по зависности (npm audit, скенер за WordPress плугини)
Месечно: Длабоко скенирање со овластено тестирање
По секое распоредување: Проверка на регресија

Брзо решение: Извршете npm audit (Node.js) или проверете ја вашата CMS листа на плугини за стари компоненти. Исправете ја критичната или висока сериозност веднаш.

Мешан Содржинa

Мешаната содржина се случува кога HTTPS страницата учитува ресурси (слики, скрипти, стилови, iframe) преку HTTP. Ова делумно ги прекинува шифрирањето и предизвикува предупредувања во прелистувачите.

Типови на мешана содржина:

Тип	Сериозност	Пример	Понашање на прелистувачот
Активна	Висока	HTTP скрипта, iframe, CSS	Блокирано по подразбирање
Пасивна	Средна	HTTP слика, видео, аудио	Учитано со предупредување

Активната мешана содржина е блокирана од современите прелистувачи — што значи вашите скрипти и стилови едноставно нема да се учитаат. Пасивната мешана содржина се учитува, но покажува предупредувања за безбедност.

Наоѓање на мешана содржина:

Отворете Chrome DevTools → Конзола
Погледнете за "Мешана содржина" предупредувања
Алтернативно, скенирајте со crawler (Screaming Frog, LANGR)

Чести извори на мешана содржина:

Хардкодиран http:// URL во содржината (блог постови, описи на производи)
Трети апликации кои учитуваат HTTP ресурси
Вградена содржина (старите вградени YouTube, widget-и на социјални медиуми)
CSS background-image со HTTP URL
Фонтови учитани преку HTTP

Поправка на мешана содржина:

<!-- Лошо -->
<img src="http://example.com/image.jpg" />

<!-- Добро -->
<img src="https://example.com/image.jpg" />

<!-- Најдобро (протокол-релативно, прилагодува во зависност од протоколот на страницата) -->
<img src="//example.com/image.jpg" />

Поправка преку база на податоци (WordPress):

UPDATE wp_posts SET post_content = REPLACE(post_content, 'http://yourdomain.com', 'https://yourdomain.com');
UPDATE wp_postmeta SET meta_value = REPLACE(meta_value, 'http://yourdomain.com', 'https://yourdomain.com');

Брзо решение: Отворете ја вашата首页 во Chrome, притиснете F12, проверете ја табулаторот Конзола за предупредувања за мешана содржина. Исправете ги сите што се појавуваат — овие се директно видливи за Google.

Ризици од Трети СТРАНСКИ Скрипти

Секој надворешен скрипт што го учитувате е потенцијален безбедносен (и перформансен) ризик. Третиот странски скрипти можат:

Да бидат компромитирани (напади од добавната низа)
Да ги следат вашите корисници без согласност (повреда на GDPR)
Да го успорат вашиот сајт (блокирање на рендерирање, мрежна латентност)
Да ја нарушат функционалноста (актуелизации на верзии, прекини)
Да инјектираат несакама содржина (погрешни рекламни скрипти)

Аудит на вашите третички скрипти:

Скрипта	Потребно?	Ниво на Ризик	Алтернатива
Google Analytics	Често да	Ниско	Сервенски трекинг
Чат widget-и	Можеби	Средно	Само-хостед решенија
Дела за социјално споделување	Ретко	Средно	Статички линкови за споделување
A/B тестирање	Понекогаш	Високо	Сервенско тестирање
Пиксели за повторно целно тоа	Бизнис одлука	Високо	Први податоци
Фонт CDN-ови	Удобно	Ниско	Само-хостед фонтови

Спречување на ризици за есенцијални трети скрипти:

Субресурсна интегритет (SRI): Хаш верификација спречува натамошни скрипти од прикачување

<script src="https://cdn.example.com/lib.js"
        integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxAE+sO0..."
        crossorigin="anonymous"></script>

CSP ограничувања: Дозволете само скрипти од познати домени
Изолирани iframe-и: Изолирате трети widget-и
Редовни аудити: Квартален преглед на сите надворешни ресурси
Набљудување: Упати при појава на нови надворешни домени во вашите страници

Брзо решение: Запишете ги сите