SEO Vodnik Korak 7: Varnost

To je Korak 7 iz 13-korakovega SEO Vodnika. Varnost ni le zaščita uporabnikov — neposredno vpliva na vaše iskalne uvrstitve. Google uporablja HTTPS kot signal za uvrstitev od leta 2014 in pričakovanja so le še povečana.

Večina lastnikov spletnih strani varnost dojema kot binarno: "Imamo SSL, torej smo varni." V resnici Google ocenjuje ducate varnostnih signalov. Spletne strani s pravilnimi varnostnimi glavami, veljavnimi certifikati in brez mešane vsebine presegajo spletne strani s preprosto osnovno SSL certifikacijo — ob vseh drugih dejavnikih enakih.

Dobra novica: večina popravkov varnosti je enkratna konfiguracija. Nastavite jih enkrat in zaščitite svoje uvrstitve trajno.

Konfiguracija SSL

SSL (tehnično TLS) šifrira povezavo med vašim strežnikom in obiskovalci. Od leta 2014 je Google izrecno potrdil HTTPS kot signal za uvrstitev. Leta 2026 ne imeti HTTPS ni samo vprašanje uvrstitve — Chrome označuje HTTP spletne strani kot "Niso varne" v naslovni vrstici, kar uničuje zaupanje uporabnikov.

Zahteve za pravilno SSL:

Zahteva	Zakaj	Kako preveriti
Veljaven certifikat	Potekel = opozorilo brskalnika = odhod uporabnikov	Preverite datum poteka
Popolna veriga	Nepopolne verige odpovejo na nekaterih napravah	Testiranje SSL Labs
TLS 1.2+	Starejše različice imajo znane ranljivosti	Testiranje SSL Labs
Brez SHA-1	Preklican, brskalniki ga zavrnejo	Podrobnosti certifikata
SAN pokritost	www in ne-www morata biti pokrita	Podrobnosti certifikata
Avtomatsko obnavljanje	Preprečuje katastrofe ob preteku	Let's Encrypt / konfiguracija ponudnika

Ocena SSL:

100% = Veljavna certifikacija + Popolna veriga + TLS 1.3 + Močan cifer + Avtomatsko obnavljanje
  0% = Potekel ali manjkajoč certifikat

Pogoste napake pri SSL:

Certifikat poteka brez opozorila — Nastavite nadzor (Korak 6) vsaj 30 dni pred potekom
Nepopolna veriga certifikatov — Strežnik mora poslati vmesne certifikate, ne le zadnjega
Mešana vsebina — HTTPS stran nalaga HTTP vire (slike, skripte, sloge)
Krožne preusmeritve — HTTP → HTTPS → HTTP cikli, ki jih povzročajo napačno konfigurirani CDN/proxy
Neenakost www in non-www — Certifikat pokriva enega, ne pa drugega

Hiter uspeh: Preverite svojo domeno preko SSL Labs (ssllabs.com/ssltest). Vse, kar je pod oceno "A", ima vprašljive težave. Večina ponudnikov gostovanja to odpravi s svojim klikom.

Varnostne glave

Varnostne glave so HTTP odzivne glave, ki usmerjajo brskalnike, kako naj se obnašajo pri nalaganju vaše strani. Preprečujejo celotne kategorije napadov — in Googleovi pajki jih preverjajo.

Osnovne varnostne glave:

Politika varnosti vsebine (CSP)

CSP je najmočnejša varnostna glava. Brskalnikom pove natanko, kateri viri (skripti, slogi, slike, pisave) so dovoljeni za nalaganje na vaših straneh.

Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' https://fonts.gstatic.com; connect-src 'self' https://api.example.com; frame-ancestors 'none';

Kaj CSP preprečuje:

Napadi med spletnimi stranmi (XSS)
Napadi injiciranja podatkov
Clickjacking (prek frame-ancestors)
Neavtorizirano izvajanje skript (kriptominarji, injektorji oglasov)

Strategija dokončne uvedbe CSP:

Začnite z Content-Security-Policy-Report-Only (dnevnik kršitev brez blokiranja)
Spremljajte poročila 1-2 tedna
Dovolite legitimne vire
Preklopite v način uveljavitve
Dodajte report-uri ali report-to za nadaljnje beleženje kršitev

X-Frame-Options

Preprečuje, da bi bila vaša stran vstavljena v iframe na drugih domenah (zaščita pred clickjackingom).

X-Frame-Options: DENY

Ali, če potrebujete dovoliti ohranjanje iste izvorne domene:

X-Frame-Options: SAMEORIGIN

X-Content-Type-Options

Preprečuje brskalnikom, da bi prepoznali MIME-tip (interpretacija datotek kot druge vrste kot je navedeno).

X-Content-Type-Options: nosniff

Ta enojni ukaz preprečuje napade, kjer datoteka .jpg vsebuje skriti JavaScript, ki ga brskalnik morda izvede.

Referrer-Policy

Ureja, koliko informacij o referentih se pošlje, ko uporabniki kliknejo povezave iz vaše strani.

Referrer-Policy: strict-origin-when-cross-origin

To pošlje celotno URL za zahtevke istega izvora, vendar samo izvor (domeno) za zahtevke med različnimi viri. Uravnava analitične potrebe s zasebnostjo.

Permissions-Policy

Ureja, katere funkcije brskalnika (kamera, mikrofon, geolokacija itd.) se lahko uporabljajo na vaši spletni strani.

Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()

Onemogočanje funkcij, ki jih ne uporabljate, preprečuje zlorabe s strani skript drugih podjetij.

Primer uvedbe glav (Next.js):

// next.config.js
module.exports = {
  async headers() {
    return [{
      source: '/(.*)',
      headers: [
        { key: 'X-Content-Type-Options', value: 'nosniff' },
        { key: 'X-Frame-Options', value: 'SAMEORIGIN' },
        { key: 'Referrer-Policy', value: 'strict-origin-when-cross-origin' },
        { key: 'Permissions-Policy', value: 'camera=(), microphone=(), geolocation=()' },
        { key: 'Strict-Transport-Security', value: 'max-age=31536000; includeSubDomains; preload' },
      ]
    }]
  }
}

Uvedba glav (Apache .htaccess):

Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Uvedba glav (Nginx):

add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Hiter uspeh: Dodajte vseh 5 zgoraj omenjenih glav v konfiguracijo svojega strežnika. To traja 5 minut in takoj izboljša vašo varnostno stanje v kateremkoli orodju za skeniranje.

HSTS Predpomnjenje

HTTP Strict Transport Security (HSTS) pove brskalnikom, da vedno uporabljajo HTTPS za vašo domeno — celo pred prvo zahtevo. Brez HSTS lahko prva obisk vaše strani še vedno uporablja HTTP (ranljivo na prestrezanje), preden se zgodi preusmeritev na HTTPS.

HSTS glava:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Tri direktive:

Direktiva	Pomen
`max-age=31536000`	Zapomni si to za 1 leto (v sekundah)
`includeSubDomains`	Uporabi tudi za vse poddomene
`preload`	Zahteva vključitev v predpomnilniške sezname brskalnikov

Seznam HSTS predpomnjenja:

Najboljša zaščita HSTS. Brskalniki vključujejo vgrajen seznam domen, ki morajo vedno uporabljati HTTPS. Oddaja vaše domene na hstspreload.org pomeni:

Obiskovalci prvič dobijo HTTPS takoj (brez HTTP → HTTPS preusmeritve)
Napadalcem je nemogoče znižati povezave
Trajno (težko se je odstraniti, ko je enkrat oddano)

Zahteve za HSTS predpomnjenje:

Veljaven HTTPS certifikat
Preusmerite vse HTTP na HTTPS (vključno s poddomenami)
HSTS glava z max-age >= 31536000
HSTS glava vključuje includeSubDomains
HSTS glava vključuje preload
Vse poddomene morajo podpirati HTTPS

Opozorilo: Oddajte na predpomnjenje le, če vse vaše poddomene podpirajo HTTPS. Direktiva includeSubDomains pomeni, da bo katera koli poddomena, ki podpira samo HTTP, postala nedostopna.

Hiter uspeh: Če že imate HTTPS na vseh poddomenah, dodajte celotno HSTS glavo in oddajte na hstspreload.org. Obdelava traja nekaj tednov, toda zaščita je trajna.

Skeniranje Ranljivosti

Avtomatizirano skeniranje ranljivosti identificira znane varnostne težave v vaši tehnologiji, preden jih napadalci izkoristijo.

Kaj skeniranje ranljivosti preverja:

Zastarela programska oprema: WordPress, dodatki, JavaScript knjižnice z znanimi CVE-ji
Izpostavljene datoteke: .env, .git, wp-config.php, izpisi podatkovnih baz
Opuščanje informacij: Glave različice strežnika, način za odpravljanje napak, sledi namestitve
Privzete poverilnice: Administratorske strani brez avtentikacije, privzeta gesla
Odprte porte/storitve: Nepotrebne storitve, izpostavljene internetu
Mesta za injiciranje: Obrazci brez zaščite CSRF, nepreverjeni vnosi

Pogoste ranljivosti po platformah:

Platforma	Najboljša ranljivost	Popravek
WordPress	Zastareli dodatki	Samoobnovitev + WAF
Shopify	Dovoljenja aplikacij tretjih strank	Revizija seznama aplikacij četrtletno
Next.js	Izpostavljene API poti	Avtentikacijska srednja programska oprema + omejevanje hitrosti
Statične strani	Napačna konfiguracija CDN	Pregled pravil predpomnjenja
Po meri	SQL injekcija	Parametrizirana poizvedba

Pogostost skeniranja:

Dnevno: Avtomatizirano površinsko skeniranje (SSL, glave, izpostavljene datoteke)
Tedensko: Preverjanje ranljivosti odvisnosti (npm audit, skener dodatkov WordPress)
Mesečno: Globinsko skeniranje z avtentikacijo
Po vsaki namestitvi: Preverjanje regresije

Hiter uspeh: Zaženite npm audit (Node.js) ali preverite seznam dodatkov vašega CMS za zastarele komponente. Takoj odpravite kritične/visoke nevarnosti.

Mešana vsebina

Mešana vsebina se pojavi, ko HTTPS stran nalaga vire (slike, skripte, sloge, iframes) preko HTTP. To delno prekine šifriranje in sproži opozorila brskalnika.

Vrste mešane vsebine:

Tip	Resnost	Primer	Obnašanje brskalnika
Aktivna	Visoka	HTTP skript, iframe, CSS	Privzeto blokirano
Pasivna	Srednja	HTTP slika, video, avdio	Naloži z opozorilom

Aktivna mešana vsebina je blokirana z modernimi brskalniki — kar pomeni, da vaši skripti in slogi preprosto ne bodo naloženi. Pasivna mešana vsebina se naloži, vendar prikazuje varnostna opozorila.

Iskanje mešane vsebine:

Odprite Chrome DevTools → Konzola
Poiščite opozorila "Mešana vsebina"
Alternativno, skenirajte s pajkom (Screaming Frog, LANGR)

Pogosti viri mešane vsebine:

Hardkodirani http:// URL-ji v vsebinah (objave na blogu, opisi izdelkov)
Vtičniki tretjih strank, ki nalagajo HTTP vire
Vdelana vsebina (stari YouTube embed, vtičniki socialnih omrežij)
CSS background-image z HTTP URL-ji
Pisave, naložene preko HTTP

Odpravljanje mešane vsebine:

<!-- Slabo -->
<img src="http://example.com/image.jpg" />

<!-- Dobro -->
<img src="https://example.com/image.jpg" />

<!-- Najbolje (protokol-relativen, prilagaja se protokolu strani) -->
<img src="//example.com/image.jpg" />

Popravek baze podatkov (WordPress):

UPDATE wp_posts SET post_content = REPLACE(post_content, 'http://yourdomain.com', 'https://yourdomain.com');
UPDATE wp_postmeta SET meta_value = REPLACE(meta_value, 'http://yourdomain.com', 'https://yourdomain.com');

Hiter uspeh: Odprite svojo domačo stran v Chromu, pritisnite F12, preverite zavihek Konzola za opozorila o mešani vsebini. Odpravite vse, kar se prikaže — te napake so neposredno vidne Googlu.

Tveganja tretjih oseb v skriptih

Vsak zunanji skript, ki ga naložite, predstavlja potencialno varnostno (in zmogljivostno) tveganje. Skripti tretjih oseb lahko:

Bodo ogroženi (napadi dobavne verige)
Sledijo vašim uporabnikom brez soglasja (kršitev GDPR)
Upčasnijo vašo stran (blokira renderiranje, zakasnitev omrežja)
Zlomijo funkcionalnost (posodobitve različic, izpadi)
Vbrizgajo nezaželeno vsebino (skripti oglasov so se pokvarili)

Revizija vaših skript tretjih oseb:

Skript	Potreben?	Tveganje	Alternativa
Google Analytics	Pogosto ja	Nizko	Sledenje na strežniški strani
Vtičniki za klepet	Morda	Srednje	Rešitve, ki jih gostite sami
Gumbi za deljenje po socialnih omrežjih	Redko	Srednje	Statistične povezave za deljenje
A/B testiranje	Včasih	Visoko	Testiranje na strežniški strani
Pikseli za ponovno ciljanje	Poslovna odločitev	Visoko	Podatki prve stranke
CDN-ji za pisave	Prihodnji	Nizko	Samo-gostilne pisave

Zmanjšavanje tveganja za ključne skripte tretjih oseb:

Celovitost podreja (SRI): Preverjanje hasha preprečuje nalaganje spremenjenih skript

<script src="https://cdn.example.com/lib.js"
        integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxAE+sO0..."
        crossorigin="anonymous"></script>

Omejitve CSP: Dovolite samo skripte iz znanih domen
Izolirane iframe: Izolacija vtičnikov tretjih strank
Redne revizije: Četrtletni pregled vseh zunanjih virov
Nadzor: Opozorilo o novih zunanjih domenah, ki se pojavijo na vaših straneh

Hiter uspeh: Naštejte vsak