Ασφάλεια και νομικά στο site σας: ο οδηγός

Το λουκέτο, και τι δεν εγγυάται

Όταν ρωτάω έναν πελάτη αν το site του είναι ασφαλές, η απάντηση είναι σχεδόν πάντα η ίδια: «ναι, έχει το λουκετάκι». Το λουκέτο στη γραμμή διεύθυνσης σημαίνει ένα πράγμα. Ότι η σύνδεση είναι κρυπτογραφημένη, δηλαδή κανείς στη μέση δεν διαβάζει τι στέλνει ο επισκέπτης. Δεν λέει τίποτα για το τι συμβαίνει μέσα στο ίδιο το site.

Και εκεί, μέσα, συμβαίνουν τα περισσότερα. Πάρτε τα site σε WordPress. Η ετήσια αναφορά μιας εταιρείας ασφαλείας μέτρησε ότι το 96% των ευπαθειών που δημοσιεύτηκαν το 2024 αφορούσε πρόσθετα (plugins, δηλαδή μικρά κομμάτια λογισμικού τρίτων που προσθέτουν λειτουργίες), όχι τον ίδιο τον πυρήνα. Άρα κάθε πρόσθετο είναι μια απόφαση ασφάλειας. Και προσοχή σε κάτι που το ξεχνούν όλοι: τα πρόσθετα δεν ενημερώνονται μόνα τους από προεπιλογή.

Τι κάνει πραγματικά τη διαφορά είναι λίγα και πεζά πράγματα: προγραμματισμένες ενημερώσεις, λιγότερα πρόσθετα, δεύτερος κωδικός στους λογαριασμούς που αλλάζουν το site, και αντίγραφα ασφαλείας που έχουν δοκιμαστεί σε επαναφορά. Γιατί αντίγραφο που δεν δοκιμάστηκε ποτέ δεν είναι αντίγραφο, είναι ελπίδα. Όλα αυτά, με τις πηγές τους, στο γιατί το λουκέτο στη γραμμή διεύθυνσης δεν φτάνει.

Ο βαθμός της κρυπτογράφησης, και το A που δεν λέει όλη την αλήθεια

Υπάρχει δωρεάν δοκιμή που βαθμολογεί πόσο καλά είναι ρυθμισμένο το λουκέτο σας, από A+ ως F. Μπορείτε να την τρέξετε μόνοι σας σε δύο λεπτά. Το δύσκολο είναι να καταλάβετε τι σας λέει.

Αν παίρνετε B, η πιο πιθανή αιτία είναι απλή: ο διακομιστής (ο υπολογιστής όπου φιλοξενείται το site) δέχεται ακόμη παλιές εκδόσεις του πρωτοκόλλου κρυπτογράφησης, που οι browsers έχουν κλείσει εδώ και χρόνια. Αν παίρνετε F, συνήθως κάποιος ξέχασε να ανανεώσει το πιστοποιητικό, δηλαδή το ψηφιακό χαρτί που αποδεικνύει ότι το site είναι αυτό που λέει. Και αν παίρνετε A, μην πανηγυρίσετε ακόμα: ένα A μπορεί να μην έχει την προστασία που αναγκάζει τον browser να μπαίνει πάντα με ασφαλή σύνδεση (HSTS). Αυτή μετράει μόνο για το A+.

Και μια αλλαγή που σας αφορά φέτος: από τις 15 Μαρτίου 2026 τα πιστοποιητικά ζουν το πολύ 200 ημέρες, αντί για 398, και το όριο θα συνεχίσει να πέφτει. Η ανανέωση με υπενθύμιση στο ημερολόγιο τελείωσε, πρέπει να γίνεται αυτόματα. Τι σημαίνει κάθε γράμμα και τι να ρωτήσετε, στο ο βαθμός SSL του site σας: τι σημαίνει πραγματικά ένα B.

Όταν το site ανοίγει κανονικά και κάτι έχει σπάσει

Όταν πέφτει ένα site, το μαθαίνετε αμέσως. Το χειρότερο είναι όταν ανοίγει κανονικά και ένα κομμάτι του έχει πάψει να δουλεύει: η αναζήτηση δεν κάνει τίποτα, η φόρμα δεν φτάνει, το ταμείο κολλάει. Ο επισκέπτης δεν σας παίρνει τηλέφωνο να σας το πει. Φεύγει. Και στα στατιστικά σας φαίνεται σαν μια επίσκεψη που απλώς δεν αγόρασε.

Το έπαθα ο ίδιος, δύο φορές μέσα σε λίγες μέρες, προσπαθώντας να κάνω το δικό μου site πιο ασφαλές. Και τις δύο φορές η σελίδα άνοιγε μια χαρά. Γι' αυτό, μετά από κάθε αλλαγή, ελέγχετε πέντε πράγματα σαν πελάτης: την αναζήτηση, τη φόρμα με πραγματική αποστολή, το καλάθι αν πουλάτε, το κατέβασμα ενός αρχείου αν δίνετε, και όλα αυτά από κινητό. Τις δύο ιστορίες και τον κανόνα, στο άλλαξα μια ρύθμιση και χάλασε το site μου, χωρίς να το πάρω είδηση.

Το ερώτημα προς τον πάροχό σας εδώ είναι ένα: η παρακολούθησή σας ελέγχει μόνο αν το site απαντάει, ή δοκιμάζει και ότι δουλεύει; Το «είναι πάνω» και το «δουλεύει» είναι δύο διαφορετικά πράγματα.

Τα email που δεν φτάνουν ποτέ

«Έστειλα την προσφορά και ο πελάτης λέει ότι δεν την πήρε». Τη βρίσκουμε σχεδόν πάντα στα ανεπιθύμητα του παραλήπτη. Και σχεδόν ποτέ δεν φταίει το κείμενο. Φταίει ότι το domain σας δεν δηλώνει ποιος επιτρέπεται να στέλνει email με το όνομά σας. Αυτό γίνεται με τρεις εγγραφές στο DNS, τον «τηλεφωνικό κατάλογο» του domain σας, που λέγονται SPF, DKIM και DMARC.

Από τον Φεβρουάριο του 2024 δεν είναι πια προαιρετικές. Η Google ζητά ταυτοποίηση από κάθε αποστολέα, και επιπλέον απαιτήσεις από όσους στέλνουν πάνω από 5.000 μηνύματα την ημέρα προς διευθύνσεις Gmail. Το όριο αυτό ακούγεται μεγάλο, αλλά οι βασικές απαιτήσεις ισχύουν όσο λίγα κι αν στέλνετε. Υπάρχει και το νομικό σκέλος, που είναι άλλο πράγμα: για διαφημιστικά μηνύματα, το άρθρο 11 του ν. 3471/2006 ζητά προηγούμενη ρητή συγκατάθεση, με εξαίρεση όταν τη διεύθυνση την πήρατε σε προηγούμενη πώληση και το μήνυμα αφορά παρόμοια προϊόντα ή υπηρεσίες, πάντα με εύκολη διαγραφή σε κάθε μήνυμα.

Τι σημαίνουν τα τρία, τι ακριβώς ζητά η Google και τι λέει ο νόμος, στο γιατί τα email σας πέφτουν στα ανεπιθύμητα. Για τον πάροχό σας, η ερώτηση είναι απλή: «έχουμε SPF, DKIM και DMARC, και ποιος διαβάζει τις αναφορές;».

Cookies και συγκατάθεση: ο κανόνας είναι γραμμένος από το 2020

Το πιο συνηθισμένο λάθος που βλέπω είναι η πεποίθηση ότι τα cookies τα ρυθμίζει μόνο ο GDPR. Στην Ελλάδα τα ρυθμίζει και το άρθρο 4 παρ. 5 του ν. 3471/2006, που ζητά συγκατάθεση για ό,τι αποθηκεύεται ή διαβάζεται στη συσκευή του επισκέπτη, είτε είναι προσωπικό δεδομένο είτε όχι. Άρα το «δεν συλλέγω προσωπικά δεδομένα, δεν χρειάζομαι banner» δεν στέκει.

Η Αρχή Προστασίας Δεδομένων το έχει γράψει καθαρά στις Συστάσεις 1/2020. Το Google Analytics θέλει συγκατάθεση. Η άρνηση πρέπει να γίνεται με τον ίδιο αριθμό κλικ και από το ίδιο επίπεδο με την αποδοχή. Η κύλιση της σελίδας δεν είναι συγκατάθεση. Και ο GDPR προσθέτει κάτι που αποτυγχάνει σχεδόν παντού: πρέπει να μπορείτε να αποδείξετε ότι ο επισκέπτης συναίνεσε. Ένα ωραίο banner που δεν κρατάει τίποτα δεν σας καλύπτει.

Έλεγχο οκτώ σημείων που κάνετε μόνοι σας, χωρίς τεχνικές γνώσεις, και τι ακριβώς προτείνεται να αλλάξει στην Ευρώπη (πρόταση, όχι ψηφισμένος νόμος), θα βρείτε στο GDPR και cookies το 2026: τι ισχύει πραγματικά για ένα ελληνικό site. Το κενό της απόδειξης είναι ακριβώς αυτό που καλύπτει το MS-Consent, το δικό μας εργαλείο συγκατάθεσης.

Προσβασιμότητα: υποχρέωση για κάποιους, κέρδος για όλους

Από τις 28 Ιουνίου 2025 ισχύει η Ευρωπαϊκή Πράξη για την Προσβασιμότητα, που στην Ελλάδα ενσωματώθηκε με τον ν. 4994/2022. Προσβασιμότητα σημαίνει ότι το site μπορεί να το χρησιμοποιήσει και κάποιος που βλέπει λιγότερο, δεν χρησιμοποιεί ποντίκι ή ακούει τη σελίδα από αναγνώστη οθόνης. Η υποχρέωση δεν αφορά κάθε site. Αφορά συγκεκριμένες υπηρεσίες, με πρώτο το ηλεκτρονικό εμπόριο. Οι πολύ μικρές επιχειρήσεις εξαιρούνται, αλλά μόνο για τις υπηρεσίες, και η εξαίρεση είναι στενότερη από όσο νομίζουν οι περισσότεροι.

Για πρόστιμα, ειλικρίνεια: δεν εντοπίζεται δημοσιευμένο προεδρικό διάταγμα με ποσά, οπότε όποιος σας αναφέρει νούμερο, ζητήστε του ΦΕΚ. Ο κίνδυνος όμως υπάρχει, και έγινε πιο συγκεκριμένος με τον ν. 5218/2025, που προβλέπει συλλογική αγωγή. Η καλή είδηση είναι ότι έξι απλά λάθη ευθύνονται για περίπου το 96% των προβλημάτων, όπως το ανοιχτό γκρι κείμενο σε λευκό φόντο και οι εικόνες χωρίς περιγραφή.

Ποιος καλύπτεται, ποιο πρότυπο ισχύει, και πέντε δοκιμές που κάνετε μόνοι σας (ξεκινώντας από το να αποσυνδέσετε το ποντίκι), στο προσβασιμότητα ιστοσελίδων: τι υποχρεούται ένα ελληνικό site από το 2025.

Ο έξυπνος βοηθός που οφείλει να λέει ότι δεν είναι άνθρωπος

Αν έχετε παραθυράκι συνομιλίας στη σελίδα σας που απαντά αυτόματα, υπάρχει μια υποχρέωση που χωράει σε μία πρόταση: ο επισκέπτης πρέπει να ξέρει ότι δεν μιλάει με άνθρωπο. Τη γράφει το άρθρο 50 του Κανονισμού (ΕΕ) 2024/1689 για την τεχνητή νοημοσύνη, και ισχύει από τις 02/08/2026. Δεν αναβλήθηκε. Η ημερομηνία 02/12/2026 που ίσως ακούσατε αφορά κάτι άλλο, την τεχνική σήμανση του παραγόμενου περιεχομένου, όχι την ενημέρωση του επισκέπτη.

Με το γράμμα του κειμένου, η υποχρέωση του σχεδιασμού βαραίνει αυτόν που φτιάχνει ή διαθέτει το σύστημα. Μόνο που η ένδειξη, αν λείπει, λείπει από τη δική σας σελίδα. Οπότε ανοίξτε το site σας σαν ξένος και δείτε αν το πρώτο που διαβάζετε στη συνομιλία σας λέει με ποιον μιλάτε. Αν όχι, ρωτήστε τον προμηθευτή σας. Το ίδιο άρθρο αφορά και κείμενα που παράγονται από πρόγραμμα και δημοσιεύονται για να ενημερώσουν το κοινό για θέματα δημόσιου ενδιαφέροντος, με εξαίρεση όταν τα έχει επιμεληθεί άνθρωπος που αναλαμβάνει τη συντακτική ευθύνη.

Τι λέει κάθε παράγραφος, και τι άλλαξα στον δικό μας βοηθό όταν τον κοίταξα με αυτό το μάτι, στο ο βοηθός στη σελίδα σας οφείλει να λέει ότι δεν είναι άνθρωπος.

Όταν είστε εσείς ο πελάτης: όλα γραπτά

Η ευθύνη δεν είναι μόνο προς τους επισκέπτες σας. Είναι και απέναντι σε όσους σας πουλάνε υπηρεσίες: τον πάροχο φιλοξενίας, αυτόν που κατοχύρωσε το domain σας, τον κατασκευαστή, τον πάροχο τηλεπικοινωνιών. Και εκεί ο κανόνας είναι ένας. Ό,τι ειπώθηκε στο τηλέφωνο δεν υπάρχει.

Το ζήσαμε από κοντά, στο σπίτι μας. Ένα πακέτο που δεν ενεργοποιήθηκε ποτέ άφησε πίσω του οφειλή περίπου 300 ευρώ, σε ΑΦΜ με λάθος όνομα, και η απάντηση στο τηλέφωνο ήταν «πέρασε το εξάμηνο». Από την ιστορία βγήκαν πέντε συνήθειες που κοστίζουν μηδέν. Οι πιο χρήσιμες: κάθε ακύρωση γραπτά, αριθμός αιτήματος πριν πείτε οτιδήποτε άλλο, email που συνοψίζει την κλήση αμέσως μετά, και έλεγχος μία φορά τον μήνα τι είναι καταχωρισμένο στο όνομά σας. Και ένα εργαλείο που λίγοι ξέρουν: με αίτημα πρόσβασης κατά το άρθρο 15 του GDPR ζητάτε όσα τηρεί μια εταιρεία για εσάς, και η απάντηση οφείλεται μέσα σε έναν μήνα.

Όλη η ιστορία, με τις διατάξεις δίπλα, στο η οφειλή για το τίποτα.

Τι ρωτάτε τον πάροχό σας, σε μία σελίδα

Αν δεν θέλετε να ασχοληθείτε με τίποτα από τα παραπάνω, δεν χρειάζεται. Χρειάζεται όμως να ξέρετε τι να ρωτήσετε αυτόν που το κάνει για εσάς. Οι ερωτήσεις είναι λίγες και καμία δεν είναι τεχνική:

Πότε δοκιμάστηκε τελευταία φορά η επαναφορά από αντίγραφο ασφαλείας; Κάθε πότε ενημερώνονται τα πρόσθετα, και ποιος ελέγχει το site μετά; Τι βαθμό παίρνει η κρυπτογράφηση, και ανανεώνονται αυτόματα τα πιστοποιητικά; Έχει το domain SPF, DKIM και DMARC; Τι φορτώνει η σελίδα πριν πατήσει ο επισκέπτης «αποδοχή», και πού κρατιέται η απόδειξη της συγκατάθεσης; Λέει ο βοηθός συνομιλίας ότι είναι πρόγραμμα; Και αν πουλάτε online, έχει γίνει ποτέ έλεγχος προσβασιμότητας;

Αν η απάντηση σε κάποια από αυτές είναι «δεν ξέρω», δεν είναι καταστροφή. Είναι το σημείο από όπου ξεκινάτε. Και ζητήστε τις απαντήσεις γραπτά, για τους λόγους της προηγούμενης ενότητας.

Και το κομμάτι που δεν καλύπτει αυτή η σελίδα

Εδώ μιλήσαμε για την ευθύνη. Το ίδιο το site, δηλαδή τι να προσέξετε πριν το αναθέσετε, τι πρέπει να είναι δικό σας, πού φιλοξενείται, πόσο γρήγορο είναι και πότε ήρθε η ώρα να αλλάξει, έχει τη δική του σελίδα: τον οδηγό για το site σας. Και το πώς σας βρίσκουν σήμερα οι πελάτες, τώρα που πολλοί ρωτάνε μηχανές αντί να ψάχνουν, είναι στον οδηγό για τις μηχανές απάντησης (AI).

Και κάτι που πρέπει να ειπωθεί: τίποτα σε αυτή τη σελίδα δεν είναι νομική συμβουλή. Σας δείχνω πού γράφεται τι, ώστε να ξέρετε τι να ρωτήσετε. Για τη δική σας περίπτωση, ο σωστός άνθρωπος είναι ο δικηγόρος σας.