छोटे और मध्यम व्यवसायों के लिए व्यावहारिक सुरक्षा चेकलिस्ट · CDS · सितंबर 2026 की अधिकृत सार्वजनिक-स्तरीय निरीक्षण पद्धति पर आधारित
केवल एक ऑनलाइन स्कैन से यह तय नहीं किया जा सकता कि वेबसाइट पूरी तरह सुरक्षित है या नहीं। फिर भी, व्यवसाय के मालिक कुछ बुनियादी जाँच करके यह समझ सकते हैं कि आगे कहाँ सत्यापन की जरूरत है। यह शुरुआती निरीक्षण के लिए चेकलिस्ट है, penetration test या संपूर्ण सुरक्षा आकलन का विकल्प नहीं।
1. जाँचें कि HTTPS सही तरीके से लागू है
- वेबसाइट के HTTP और HTTPS—दोनों रूप खोलकर देखें।
- जाँचें कि HTTPS प्रमाणपत्र वैध है और HTTPS अनुरोध सफल होता है।
- देखें कि HTTP से HTTPS पर सही redirect होता है या नहीं।
- पेज में HTTP इस्तेमाल करने वाले mixed-content संकेत और canonical URL की संगति जाँचें।
सही तरीके से कॉन्फ़िगर किया गया HTTPS डेटा को रास्ते में सुरक्षित रखने में मदद करता है। लेकिन वैध प्रमाणपत्र अपने-आप यह साबित नहीं करता कि पूरी वेबसाइट सुरक्षित है।
2. सुरक्षा response headers जाँचें
HTTP response में HSTS, Content Security Policy (CSP), X-Content-Type-Options और framing/referrer controls जैसे headers देखें। केवल उनकी मौजूदगी नहीं, बल्कि उनके values, consistency और वेबसाइट के वास्तविक व्यवहार के साथ उनका मेल भी जाँचें।
किसी header का न दिखना अपने-आप vulnerability का प्रमाण नहीं है। इसी तरह, सभी headers मौजूद होने से पूर्ण सुरक्षा की गारंटी नहीं मिलती। संदर्भ के लिए MDN HTTP headers guide और OWASP Secure Headers देखें।
3. वेबसाइट की तकनीक और versions की सूची बनाएँ
CMS, framework, server, programming runtime और प्रमुख components की उपलब्ध जानकारी दर्ज करें। यह inventory patching, support lifecycle और configuration management में मदद करती है। बाहर से दिखने वाला technology संकेत गलत या अधूरा हो सकता है; किसी पुराने version का संकेत मिलना यह साबित नहीं करता कि वेबसाइट compromise हुई है।
4. Cookies और browser-facing controls जाँचें
Login, forms और sessions से जुड़े responses में जहाँ लागू हो, Secure, HttpOnly और SameSite flags देखें। सही settings application के व्यवहार पर निर्भर करती हैं। कोई flag न दिखने से session takeover सिद्ध नहीं होता; प्रभाव का सत्यापन जरूरी है।
5. DNS और ईमेल की बुनियादी सेटिंग्स जाँचें
दायरे में होने पर A/AAAA, MX, NS और TXT records के साथ SPF, DKIM और DMARC देखें। अप्रत्याशित या असंगत records को अपेक्षित configuration से मिलाएँ। किसी एक record का न होना धोखाधड़ी या compromise का प्रमाण नहीं है; लेकिन इससे reliability, spoofing risk या configuration governance पर आगे जाँच की जरूरत हो सकती है।
हमारे 92-target review से क्या पता चला?
CDS/AuthSetu के सितंबर 2026 के अधिकृत, सार्वजनिक-स्तरीय passive review में 92 targets से 9,977 normalized observations दर्ज की गईं। उस normalized dataset के V5 में HSTS, 92 में से 50 targets (54.3%) पर और CSP, 92 में से 45 targets (48.9%) पर observed था।
ये आँकड़े केवल समीक्षा किए गए dataset के बारे में हैं; इन्हें भारत के सभी छोटे व्यवसायों का प्रतिनिधि नहीं माना जाना चाहिए। Automated parser कुछ संकेतों को गलत वर्गीकृत कर सकता है या controls पहचानने में चूक सकता है। इसलिए observation को confirmed vulnerability न मानें। किसी target से जुड़ी संवेदनशील जानकारी सार्वजनिक न करें।
मालिक के लिए 15-मिनट की चेकलिस्ट
| जाँच | क्या दर्ज करें | अगला कदम |
|---|---|---|
| HTTPS | HTTP→HTTPS redirect और certificate status | वेबसाइट प्रशासक से सत्यापन |
| Security headers | Header, value और URL | जरूरत के अनुसार policy hardening |
| Technology inventory | CMS और components; जहाँ संभव हो version | जिम्मेदार व्यक्ति और update cycle तय करें |
| Cookie controls | लागू flags और endpoint | Application behavior से मिलान करें |
| DNS/ईमेल | Records और अपेक्षित setup से अंतर | DNS/ईमेल प्रशासक से जाँच |
Observation को अंतिम निष्कर्ष न मानें
एक उपयोगी रिपोर्ट का क्रम होना चाहिए: Observation → Technical Meaning → Business Relevance → Potential Impact → Verification → Action. उदाहरण: “कैप्चर किए गए response में CSP दिखाई नहीं दिया” एक observation है। “वेबसाइट हैक हो गई है” कहने के लिए अलग और पर्याप्त प्रमाण चाहिए।
यह चेकलिस्ट कब पर्याप्त नहीं है?
यह passive external checklist penetration test, secure-code review, authenticated assessment, incident response या कानूनी/अनुपालन आकलन का विकल्प नहीं है। यदि वेबसाइट पर संवेदनशील ग्राहक डेटा, payments या privileged workflows हैं, तो जोखिम और स्पष्ट authorization के अनुसार जाँच की गहराई तय करें।
अगला कदम
इन पाँच जाँचों को पूरा करें, तारीख और evidence दर्ज करें, और महत्वपूर्ण observations का तकनीकी सत्यापन कराएँ। CDS की Website Security, Website Security Audit और Digital Infrastructure सेवाओं के बारे में पढ़ें या CDS से संपर्क करें।
सीमाएँ: यह शैक्षिक लेख defensive methodology और सितंबर 2026 की अधिकृत passive review पर आधारित है। निष्कर्षों को वास्तविक environment और intended architecture में दोबारा सत्यापित करें। यहाँ exploitation या unauthorized access का दावा नहीं किया गया है।