लघु व्यवसायांसाठी व्यावहारिक सुरक्षा तपासणीसूची · CDS · सप्टेंबर २०२६ मधील अधिकृत सार्वजनिक-स्तरीय निरीक्षण पद्धतीवर आधारित

वेबसाइट सुरक्षित आहे की नाही हे केवळ एका ऑनलाइन स्कॅनवरून ठरवता येत नाही. मात्र, व्यवसायमालक काही मूलभूत तपासण्या करून पुढील पडताळणी कुठे आवश्यक आहे हे ओळखू शकतो. ही तपासणीसूची प्राथमिक निरीक्षणासाठी आहे; ती penetration test किंवा संपूर्ण सुरक्षा मूल्यांकनाचा पर्याय नाही.

१. HTTPS योग्यरीत्या लागू आहे का ते तपासा

• वेबसाइटची HTTP आणि HTTPS दोन्ही रूपे उघडून पाहा.
• HTTPS प्रमाणपत्र वैध आहे आणि HTTPS विनंती यशस्वी होते का ते तपासा.
• HTTP वरून HTTPS कडे योग्य redirect होतो का ते पाहा.
• पानात HTTP वापरणाऱ्या mixed-content घटकांची चिन्हे आहेत का आणि canonical URL सुसंगत आहेत का ते तपासा.

HTTPS योग्यरीत्या कॉन्फिगर केल्यास प्रवासात डेटा सुरक्षित ठेवण्यास मदत होते. मात्र, प्रमाणपत्र वैध असणे म्हणजे संपूर्ण वेबसाइट सुरक्षित आहे याचा पुरावा नाही.

२. सुरक्षा response headers तपासा

HTTP प्रतिसादात HSTS, Content Security Policy (CSP), X-Content-Type-Options आणि framing/referrer नियंत्रणे यांसारखे headers तपासा. फक्त उपस्थिती नव्हे, तर त्यांची मूल्ये, सुसंगतता आणि वेबसाइटच्या कार्यपद्धतीशी त्यांचा मेळही तपासावा.

एखादा header दिसत नाही म्हणून आपोआप vulnerability सिद्ध होत नाही. तसेच सर्व headers उपस्थित असले तरी संपूर्ण संरक्षणाची हमी मिळत नाही. संदर्भासाठी MDN HTTP headers मार्गदर्शक आणि OWASP Secure Headers पहा.

३. वेबसाइटचे तंत्रज्ञान आणि आवृत्त्यांची माहिती नोंदवा

CMS, framework, server, programming runtime आणि महत्त्वाचे घटक यांची शक्य तितकी यादी तयार करा. ही माहिती patching, support lifecycle आणि configuration व्यवस्थापनासाठी उपयोगी ठरते. बाहेरून दिसणारा तंत्रज्ञानाचा संकेत चुकीचा किंवा अपूर्ण असू शकतो; जुन्या आवृत्तीचा संशय म्हणजे वेबसाइट compromise झाली आहे असा निष्कर्ष काढू नका.

४. Cookies आणि browser-facing controls तपासा

Login, forms आणि session वापरणाऱ्या प्रतिसादांमध्ये लागू असल्यास Secure, HttpOnly आणि SameSite flags तपासा. योग्य सेटिंग्ज अॅप्लिकेशनच्या वर्तनावर अवलंबून असतात. एखादा flag दिसत नाही म्हणून session takeover सिद्ध होत नाही; परिणाम पडताळणे आवश्यक आहे.

५. DNS आणि ईमेलची मूलभूत संरचना तपासा

व्याप्तीत असल्यास A/AAAA, MX, NS आणि TXT records तसेच SPF, DKIM आणि DMARC तपासा. अनपेक्षित किंवा परस्परविरोधी नोंदी आढळल्यास त्या अपेक्षित configuration शी तुलना करा. एखादी नोंद नसणे म्हणजे फसवणूक किंवा compromise झाल्याचा पुरावा नाही; मात्र reliability, spoofing जोखीम किंवा व्यवस्थापनाबाबत पुढील प्रश्न निर्माण होऊ शकतात.

आमच्या ९२-target निरीक्षणातून काय दिसले?

CDS/AuthSetu च्या सप्टेंबर २०२६ मधील अधिकृत, सार्वजनिक-स्तरीय passive review मध्ये ९२ targets मधून ९,९७७ normalized observations नोंदवली गेली. त्या normalized dataset च्या V5 मध्ये HSTS ९२ पैकी ५० targets (५४.३%) आणि CSP ९२ पैकी ४५ targets (४८.९%) मध्ये observed होते.

हे आकडे फक्त या तपासलेल्या dataset बद्दल आहेत; भारतातील सर्व लघु व्यवसायांचे प्रतिनिधित्व करत नाहीत. Automated parser काही संकेत चुकीने वर्गीकृत करू शकतो किंवा नियंत्रण चुकवू शकतो. त्यामुळे निरीक्षण म्हणजे सिद्ध vulnerability असे समजू नये. Target-स्तरीय संवेदनशील निष्कर्ष सार्वजनिक करू नयेत.

१५ मिनिटांची मालकासाठी तपासणीसूची

निरीक्षणाला निष्कर्ष समजू नका

व्यावसायिक अहवालात क्रम असा ठेवा: निरीक्षण → तांत्रिक अर्थ → व्यावसायिक संदर्भ → संभाव्य परिणाम → पडताळणी → कृती. उदाहरणार्थ, “कॅप्चर केलेल्या प्रतिसादात CSP दिसला नाही” हे निरीक्षण आहे. “वेबसाइट हॅक झाली आहे” असे म्हणण्यासाठी स्वतंत्र आणि पुरेसा पुरावा आवश्यक आहे.

ही तपासणी कधी पुरेशी नसते?

ही बाह्य, passive checklist penetration test, secure-code review, authenticated assessment, incident response किंवा कायदेशीर/अनुपालन मूल्यांकनाची जागा घेत नाही. ग्राहकांचा संवेदनशील डेटा, पेमेंट किंवा विशेषाधिकार असलेल्या प्रणाली असल्यास जोखीम आणि स्पष्ट अधिकृततेनुसार तपासणीची खोली ठरवा.

पुढील पाऊल

या पाच तपासण्या करा, तारीख आणि पुरावा नोंदवा, आणि महत्त्वाच्या निरीक्षणांची योग्य तांत्रिक पडताळणी करून घ्या. CDS च्या Website Security, Website Security Audit आणि Digital Infrastructure सेवांबद्दल वाचा किंवा CDS शी संपर्क साधा.

मर्यादा: हा शैक्षणिक लेख defensive methodology आणि सप्टेंबर २०२६ मधील अधिकृत passive review वर आधारित आहे. निष्कर्ष प्रत्यक्ष वातावरणात आणि अपेक्षित architecture नुसार पुन्हा पडताळावेत. येथे exploitation किंवा अनधिकृत प्रवेशाचा दावा केलेला नाही.