SEO Vodič Korak 7: Bezbednost

Ovo je Korak 7 iz 13-koraka SEO Vodiča. Bezbednost nije samo zaštita korisnika — direktno utiče na vaše rangiranje u pretraživačima. Google koristi HTTPS kao signal za rangiranje od 2014. godine, a očekivanja su se samo povećala.

Većina vlasnika sajtova misli o bezbednosti kao o binarnom faktoru: "Imamo SSL, što znači da smo zaštićeni." U stvarnosti, Google procenjuje desetine sigurnosnih signala. Sajtovi sa pravilnim sigurnosnim zaglavljima, važećim sertifikatima i bez mešanog sadržaja bolje se rangiraju od sajtova koji imaju samo osnovni SSL sertifikat — pod svim ostalim faktorima jednakim.

Dobra vest: većina bezbednosnih popravki je jednokratna konfiguracija. Podesite ih jednom, i one trajno štite vaše rangiranje.

Konfiguracija SSL-a

SSL (tehnički TLS) šifruje vezu između vašeg servera i posetilaca. Od 2014. godine, Google je izričito potvrdio HTTPS kao signal za rangiranje. U 2026. godini, neimanje HTTPS-a nije samo pitanje rangiranja — Chrome označava HTTP sajtove kao "Nema bezbednost" u adresnoj traci, uništavajući poverenje korisnika.

Zahtevi za pravilno SSL:

Zahtev	Zašto	Kako proveriti
Važeći sertifikat	Isteče = upozorenje pretraživača = odustali korisnici	Proverite datum isteka
Puna lanac	Nepotpuni lanci ne funkcionišu na nekim uređajima	SSL Labs test
TLS 1.2+	Starije verzije imaju poznate ranjivosti	SSL Labs test
Nema SHA-1	Zastarjelo, pregledači to odbacuju	Detalji sertifikata
SAN pokrivenost	www i non-www moraju biti obuhvaćeni	Detalji sertifikata
Automatsko obnavljanje	Sprečava katastrofe usled isteka	Let's Encrypt / podešavanje provajdera

Ocena SSL-a:

100% = Važeći sertifikat + Puna lanac + TLS 1.3 + Jaki šifarnik + Automatsko obnavljanje
  0% = Istečeni ili nedostajući sertifikat

Uobičajene greške u SSL-u:

Sertifikat isteče bez upozorenja — Podesite monitoring (Korak 6) najmanje 30 dana pre isteka
Nepotpuni lanac sertifikata — Server mora slati međusobne sertifikate, a ne samo dužinu
Mješoviti sadržaj — HTTPS stranica učitava HTTP resurse (slike, skripte, stilove)
Petlje preusmeravanja — HTTP → HTTPS → HTTP ciklusi uzrokovani pogrešno konfigurisanim CDN/proxy
Neusklađenost non-www i www — Sertifikat pokriva jedan, ali ne i drugi

Brza pobeda: Provedite svoju domenu kroz SSL Labs (ssllabs.com/ssltest). Sve što je ispod "A" rejtinga ima probleme koji zahtevaju delovanje. Većina provajdera hosting-a rešava ovo jednim klikom.

Sigurnosna zaglavlja

Sigurnosna zaglavlja su HTTP odgovarajući zaglavlja koja uputstava preglednike kako da se ponašaju prilikom učitavanja vašeg sajta. Ona sprečavaju čitave kategorije napada — a Googleovi roboti ih proveravaju.

Osnovna sigurnosna zaglavlja:

Politika sigurnosti sadržaja (CSP)

CSP je najmoćnije sigurnosno zaglavlje. To govori pregledačima tačno koji su resursi (skripte, stilovi, slike, fontovi) dozvoljeni za učitavanje na vašim stranicama.

Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' https://fonts.gstatic.com; connect-src 'self' https://api.example.com; frame-ancestors 'none';

Šta CSP sprečava:

Napadi skripti između sajtova (XSS)
Napadi na umetanje podataka
Clickjacking (putem frame-ancestors)
Neovlašćeno izvršavanje skripti (kriptovaluti, ad-injektori)

Strategija implementacije CSP:

Počnite sa Content-Security-Policy-Report-Only (prijavljuje povrede bez blokiranja)
Pratite izveštaje 1-2 nedelje
Dodajte legitimačne izvore na belu listu
Pređite u režim primene
Dodajte report-uri ili report-to za kontinuirano logovanje povreda

X-Frame-Options

Sprečava vaš sajt da bude ugrađen u iframes na drugim domenima (zaštita od clickjackinga).

X-Frame-Options: DENY

Ili, ako treba da omogućite oblikovanje iz iste domene:

X-Frame-Options: SAMEORIGIN

X-Content-Type-Options

Sprečava pretraživače da "njuškanje" MIME tipa (tumačenje datoteka kao različitih tipova od onoga što je deklarisano).

X-Content-Type-Options: nosniff

Ova linija sprečava napade gde .jpg datoteka sadrži skrivene JavaScript kodove koje pregledač može izvršiti.

Referrer-Policy

Kontroliše koliko informacija o referer-u se šalje kada korisnici kliknu na linkove sa vašeg sajta.

Referrer-Policy: strict-origin-when-cross-origin

Ovo šalje punu URL adresu za zahteve iz iste domene, ali samo origin (domen) za zahteve preko domena. Balansira potrebe analitike sa privatnošću.

Permissions-Policy

Kontroliše koje funkcionalnosti pregledača (kamera, mikrofon, geolokacija itd.) mogu biti korišćene na vašem sajtu.

Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()

Onemogućavanje funkcionalnosti koje ne koristite sprečava zloupotrebu od strane skripti trećih strana.

Primer implementacije zaglavlja (Next.js):

// next.config.js
module.exports = {
  async headers() {
    return [{
      source: '/(.*)',
      headers: [
        { key: 'X-Content-Type-Options', value: 'nosniff' },
        { key: 'X-Frame-Options', value: 'SAMEORIGIN' },
        { key: 'Referrer-Policy', value: 'strict-origin-when-cross-origin' },
        { key: 'Permissions-Policy', value: 'camera=(), microphone=(), geolocation=()' },
        { key: 'Strict-Transport-Security', value: 'max-age=31536000; includeSubDomains; preload' },
      ]
    }]
  }
}

Implementacija zaglavlja (Apache .htaccess):

Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Implementacija zaglavlja (Nginx):

add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

Brza pobeda: Dodajte svih 5 zaglavlja iznad u konfiguraciju vašeg servera. To traje 5 minuta i odmah poboljšava vašu bezbednost u bilo kojem alatu za skeniranje.

HSTS Preload

HTTP Strict Transport Security (HSTS) govori pregledačima da uvek koriste HTTPS za vašu domenu — čak i pre prvog zahteva. Bez HSTS-a, prvi poset vašem sajtu može još uvek koristiti HTTP (ranjiv na presretanje) pre nego što se desi preusmeravanje na HTTPS.

HSTS zaglavlje:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Tri direktive:

Direktiva	Značenje
`max-age=31536000`	Zapamtiti ovo na 1 godinu (u sekundama)
`includeSubDomains`	Primeni na sve poddomene
`preload`	Zatraži uključivanje u preload liste pretraživača

HSTS preload lista:

Ultimatna zaštita HSTS. Pregledači dolaze sa ugrađenom listom domena koje moraju uvek koristiti HTTPS. Slanjem svoje domene na hstspreload.org, to znači:

Posetioci prvi put dobijaju HTTPS odmah (nema HTTP → HTTPS preusmeravanja)
Nemoguće je za napadače da osakate veze
Trajno (teško je ukloniti jednom kada se dostavi)

Zahtevi za HSTS preload:

Važeći HTTPS sertifikat
Preusmeriti sve HTTP na HTTPS (uključujući poddomene)
HSTS zaglavlje sa max-age >= 31536000
HSTS zaglavlje uključuje includeSubDomains
HSTS zaglavlje uključuje preload
Sve poddomene moraju podržavati HTTPS

Upozorenje: Samo pošaljite na preload ako SVE vaše poddomene podržavaju HTTPS. Direktiva includeSubDomains znači da će svaka HTTP-jedina poddomena postati nedostupna.

Brza pobeda: Ako već imate HTTPS na svim poddomenama, dodajte potpuno HSTS zaglavlje i pošaljite na hstspreload.org. Obrada traje nekoliko nedelja, ali zaštita je trajna.

Skeniranje ranjivosti

Automatizovano skeniranje ranjivosti identifikuje poznate sigurnosne probleme u vašem sistemu pre nego što ih napadači iskoriste.

Šta skeniranje ranjivosti proverava:

Zastarjeli softver: WordPress, dodaci, JavaScript biblioteke sa poznatim CVE-ima
Izložene datoteke: .env, .git, wp-config.php, dumpovi baza podataka
Curjenje informacija: Zaglavlja verzije servera, režim debagovanja, stack trace
Podrazumevani kredencijali: Administratorske stranice bez autentifikacije, podrazumevane lozinke
Otvorene portove/usluge: Nepotrebne usluge izložene internetu
Tačke umetanja: Forme bez CSRF zaštite, nevalidirani unosi

Uobičajene ranjivosti po platformama:

Platforma	Najveća ranjivost	Rešavanje
WordPress	Zastarjeli dodaci	Automatsko ažuriranje + WAF
Shopify	Dozvole aplikacija trećih strana	Revizija liste aplikacija svaka tri meseca
Next.js	Izložene API rute	Auth middleware + ograničavanje brzine
Statički sajtovi	Pogrešna konfiguracija CDN-a	Pregled pravila keširanja
Prilagođeni	SQL injekcija	Parametrizovani upiti

Frekvencija skeniranja:

Dnevno: Automatizovano skeniranje površine (SSL, zaglavlja, izložene datoteke)
Nedeljno: Provera ranjivosti zavisnosti (npm audit, WordPress skener)
Mesečno: Duboko skeniranje sa autentifikovanim testiranjem
Posle svake isporuke: Provera regresije

Brza pobeda: Pokrenite npm audit (Node.js) ili proverite listu dodataka vašeg CMS-a za zastarele komponente. Odmah rešite kritične/visoke probleme.

Mešani sadržaj

Mešani sadržaj se dešava kada HTTPS stranica učitava resurse (slike, skripte, stilove, iframes) preko HTTP-a. Ovo delimično prekida šifrovanje i izaziva upozorenja u pregledaču.

Tipovi mešanog sadržaja:

Tip	Ozbiljnost	Primer	Ponašanje pregledača
Aktivni	Visok	HTTP skripta, iframe, CSS	Blokiran po defaultu
Pasivni	Srednji	HTTP slika, video, audio	Učitava se uz upozorenje

Aktivni mešani sadržaj blokiraju moderni pregledači — što znači da se vaše skripte i stilovi prosto neće učitati. Pasivni mešani sadržaj se učitava, ali prikazuje sigurnosna upozorenja.

Pronalazak mešanog sadržaja:

Otvorite Chrome DevTools → Konzola
Potražite "Mešani sadržaj" upozorenja
Alternativno, skenirajte sa crawler-om (Screaming Frog, LANGR)

Uobičajeni izvori mešanog sadržaja:

Hardkodirane http:// URL adrese u sadržaju (blog postovi, opisi proizvoda)
Vidžeti trećih strana koji učitavaju HTTP resurse
Ugrađeni sadržaji (stari YouTube ugrađivači, vidžeti društvenih mreža)
CSS background-image sa HTTP URL-ovima
Fontovi učitani preko HTTP-a

Popravka mešanog sadržaja:

<!-- Loše -->
<img src="http://example.com/image.jpg" />

<!-- Dobro -->
<img src="https://example.com/image.jpg" />

<!-- Najbolje (protokol-odnosno, prilagođava se protokolu stranice) -->
<img src="//example.com/image.jpg" />

Popravka baze podataka (WordPress):

UPDATE wp_posts SET post_content = REPLACE(post_content, 'http://yourdomain.com', 'https://yourdomain.com');
UPDATE wp_postmeta SET meta_value = REPLACE(meta_value, 'http://yourdomain.com', 'https://yourdomain.com');

Brza pobeda: Otvorite svoju početnu stranicu u Chrome-u, pritisnite F12, proverite tab Konzole za upozorenja o mešanom sadržaju. Popravite sve što se pojavi — ovo je direktno vidljivo Google-u.

Rizici skripti trećih strana

Svaka eksterna skripta koju učitate je potencijalna bezbednosna (i performansna) opasnost. Skripte trećih strana mogu:

Biti kompromitovane (napadi na lanac snabdevanja)
Praćenje vaših korisnika bez pristanka (kršenje GDPR-a)
Usporiti vaš sajt (blokiranje prikaza, mrežna latencija)
Pokvariti funkcionalnost (ažuriranja verzija, prekidi)
Umetati neželjeni sadržaj (skripte za oglase koje ne rade)

Revizija vaših skripti trećih strana:

Skripta	Neophodna?	Stepen rizika	Alternativa
Google Analytics	Često da	Nizak	Praćenje na strani servera
Chat vidžeti	Možda	Srednji	Rešenja koja se hostuju sama
Dugmad za deljenje na društvenim mrežama	Retko	Srednji	Statički linkovi za deljenje
A/B testiranje	Ponekad	Visoki	Testiranje na strani servera
Pixel za ponovno ciljanje	Poslovna odluka	Visoki	Podaci prvih strana
Font CDN-ovi	Praktično	Nizak	Fontovi koji se sami hostuju

Smanjenje rizika za bitne skripte trećih strana:

Integritet podresursa (SRI): Verifikacija haša sprečava učitavanje skripti koje su prepravili

<script src="https://cdn.example.com/lib.js"
        integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxAE+sO0..."
        crossorigin="anonymous"></script>

CSP ograničenja: Dozvolite samo skripte iz poznatih domena
Sandboxovane iframe: Izoluju vidžete trećih strana
Redovne revizije: Kvartalni pregled svih eksternih resursa
Monitoring: Upozorenje na nove spoljne domene koji se pojavljuju na vašim stranicama

Brza pobeda: Napravite listu svih