De beveiliging van een website is een combinatie van verschillende maatregelen, was het maar zo simpel dat met 1 functie heel je website veilig was. Ik zou zeggen begin met het leren zoeken naar kwetsbaarheden op CertifiedSecure.com of laat iemand je website testen op kwetsbaarheden, aangezien wij verder niet weten wat er op je website draait en hoe je je server verder hebt ingesteld.

Alleen statische HTML zou veilig genoeg moeten zijn. Dus geen dynamische content.
Het enige dat dan nog onveilig kan zijn is de webserver zelf, maar de website niet.

Je moet eerst bedenken welke functionaliteit de website moet hebben.
Bouw een minimalistische website met alleen de hoognodige functionaliteit.

Een statische website met alleen platte tekst (HTML, CSS, enz) is natuurlijk het meest veilig.
Voor plaatjes moet je meer bestanden toegankelijk maken op de server, daarmee meer kans op lekken.
Dynamische pagina's veroorzaken nog meer potentiële veiligheidsproblemen.
Statische websites zijn echter in 99% van de gevallen niet toereikend.
Ik ken weinig websites zonder database / formulier / dynamische content / zoeken / enz.
Hoe meer code / bestanden / databases des te meer kans op lekken.

Checklists van Certified Secure gebruiken!

www.certifiedsecure.com/checklists/

Denk niet alleen aan de code voor je pagina maar ook aan het systeem waarom je website draait. Dus het OS en de HTML server software en mogelijk andere website die ook op hetzelfde systeem draaien. Zit daar een lek en wordt de host gecompromitteerd, zijn de andere sites ook de klos.
En in mindere mate moet je misschien ook denken aan de host als de webwerver een virtueel systeem is.
En als je echt niemand vertrouwd, denk dan ook aan de locatie waar dat systeem staat.

En wat je niet gebruikt kan ook niet gekraakt worden (php, mysql enweetikwatnietmeerallemaal).
Hou het dus zo plat mogelijk.

rare vraag, hoe minder functionaliteit hoe minder kans op security issues. Veiligheid wordt normaalgesproken opgedeeld in 3 delen, beschikbaarheid (kun je bij je data), integriteit (klopt de data), vertrouwelijkheid (wie kan er bij de data en wie kan er niet bij). Het gaat er in eerste instantie om wat je wil voorkomen.
Alleen maar plaatjes lijkt me niet nodig en dit maakt maatregelen tegen een DOS aanval moeilijker te implementeren. Een statische site, zo min mogelijk input van de gebruiker vragen is in de regel iets wat wel goed werkt.

Er van uitgaande dat de webserver zelf geen bugs bevat ;)

Het maakt voor een webserver geen bal uit of 't nu 100 HTML bestanden zijn, 100 JPG bestanden of een combinatie.

Of te wel misconfiguratie, zoals Anonymous FTP, open relay, default/zwakke wachtwoorden, etc.

Dan vergeet je aan toegankelijkheid voor slechtzienden te denken. Niet doen.

Als je het trouwens met plaatjes af kan handelen dan heb je het kennelijk over een website met statische inhoud, gewoon HTML+CSS+afbeeldingen dus. Voor een imagemap heb je ook al HTML+afbeeldingen nodig, dus dat maakt qua beveiliging niet uit. Daar heb je geen PHP of andere server-side dynamische technieken voor nodig, geen content management systeem (wat dynamische technieken voor statische inhoud zou gebruiken in jouw geval), er hoeft geen database achter te ziten. Als je dat soort dingen wel nodig hebt dan begrijp ik niet waarom je met enkel plaatjes uit de voeten denkt te kunnen.

Wil je toch een CMS gebruiken omdat dat nou eenmaal makkelijker voor je is, dan zou je die op een website kunnen draaien op je interne netwekr, niet van buiten toegankelijk. Met een mirror-tool kan je dan een kopie van statische HTML maken en die publiceren, zodat er op de publieke website geen CMS meer meedraait. Welk CMS je dan het beste kan gebruiken daar ben ik niet in thuis. Ik denk dat je er een moet zoeken die niet overdreven zwaar op client-side JavaScript steunt maar waar waar hyperlinks gewoon ouderwetse HTML-hyperlinks zijn, dat maakt het aanzienlijk makkelijker om er via HTTP een mirror van te maken.

De zin "Guns dont kill people, people kill people" gaat ook op voor het maken van veilige websites.

Hobbybob die een site bouwt voor 100 euro zal weinig aandacht besteden aan veiligheid.

Dus alle bovenstaande reacties over frameworks en weet ik veel allemaal zijn ook overbodig want als je een slechte programmeur bent dan zit er altijd wel een foutje in je site.

En plaatjes? Wat dacht je van bandbreedte, neem nu.nl, bijna alleen maar text. Als je deze om zou zetten naar een plaatje ben je minstens twee keer zolang aan het wachten.

Gebruik gewoon je verstand. Lees over eerder gemaakte fouten op oa. deze site en neem dat mee tijdens de ontwikkeling van je website. Zo simpel is het.

Prima opmerking hierboven, dit is volgens mij wel wat de essentie van het beveiligen van een website is.

Echter is de onderstaande opmerking misschien niet helemaal correct. Iemand die een site voor 100 euro bouwt zal waarschijnlijk geen webapplicatie in java/.NET maken en wanneer er php gebruikt zak worden zijn dit naar alle waarschijnlijkheid geen zelf geschreven stukken maar gewoon beproefde(gekopieerde) elementen.
De meeste incidenten met betrekking tot websites zitten in de intelligentie van een site. Wanneer je een site heel slim wil maken en wil laten verbinden met vanalles en je met databases werkt en verschillende gebruikersrechten dan zijn dit allemaal potentiele lekken.(allemaal relatief aan hoe goed het geupdate en afgeschermd is natuurlijk) Bij het veilig maken van een site houdt je in de gaten dat je zo min mogelijk onnodige intelligentie gebruikt. De beste manier om je tegen sql injectie te beschermen bijvoorbeeld is gewoon geen database gebruiken.

Zelfs wanneer je een slechte programmeur(webdesigner) hebt kan er nog weinig fout gaan als je een simpele html pagina hebt en een up to date hoster.

Biedt die nu ook php via cgi aan waar onlangs zo een reusachtig gat voor was gevonden?

http://www.hiawatha-webserver.org/howto/cgi_wrapper
http://blog.sucuri.net/2012/05/php-cgi-vulnerability-exploited-in-the-wild.html

Zo ja dan haak ik af...