Безпечний серфінг – це не браузер, який треба встановити. Це короткий список налаштувань, які ви вмикаєте в браузері, що вже маєте. Більшість людей потрапляє сюди після переляку: лист «новий вхід із пристрою, який ми не впізнаємо», розширення, що просить дозвіл «читати й змінювати всі ваші дані на всіх вебсайтах», або вхід у кабінет магазину з вокзального Wi-Fi. Чекліст складається з п’яти рівнів:
- Акаунт: паролі, 2FA, сесії, підключені застосунки
- Браузер: оновлення, HTTPS, дозволи, збережені дані
- Розширення: що встановлено і що воно може читати
- Мережа: публічний Wi-Fi, DNS, що робить VPN і чого не робить
- Пристрій: блокування екрана, шифрування, оновлення, резервні копії
Для кожного пункту пояснено, чому він важливий і як переконатися, що він працює.
Від чого ви насправді захищаєтеся (і чого цей список не зупинить)
П’ять речей ламаються значно частіше, ніж щось екзотичне.
Перехоплення сесії. Ваш браузер зберігає сесійний cookie, що підтверджує: ви вже ввійшли. Викравши цей cookie, зловмисник обходить і пароль, і другий фактор, бо акаунт навіть не бачить спроби входу. Саме цей механізм виправдовує більшість пунктів браузерного рівня нижче.
Пароль, що витік із чужої бази даних. Зламали не вас. Зламали форум, яким ви користувалися у 2019 році, і ту саму пару пошта й пароль тепер пробують на ваших акаунтах маркетплейсів і рекламних кабінетах. Це credential stuffing.
Шкідливе або перепродане розширення. Коли ви його встановлювали, все було гаразд. Потім змінився власник, тихо вийшло оновлення, а дозволи, які ви дали роки тому, досі діють.
Перехоплення у відкритій мережі. Менша загроза, ніж кажуть, але не нульова.
Фішинг. Досі найрезультативніша атака, бо цілиться у вас, а не у ваше ПЗ.
Чесна частина: це знижує ризик, але не усуває його, і ніщо тут не робить вас анонімним і не захищає від бану акаунтів. Це також не скасовує правил платформ чи законів про захист даних. GDPR (ЄС), UK GDPR або CCPA-CPRA (Каліфорнія) поширюються на всіх, хто працює з чужими даними, так само як Meta Advertising Policies, Amazon Seller Code of Conduct і X Rules.
Спершу одне розмежування: безпека – не приватність. Ця стаття про те, щоб ніхто не забрав ваші акаунти. Те, що рекламні мережі стежать за тим, що ви читаєте, – інший механізм з іншим рішенням.
Рівень 1: ваші акаунти
Унікальні паролі та менеджер паролів
Повторне використання паролів множить шкоду. Одна пара облікових даних, викрадена під час стороннього витоку, перетворюється на прохід по всіх сервісах, де ви її використовували. Надійний менеджер паролів робить унікальність безплатною: ви перестаєте запам’ятовувати паролі, а отже, перестаєте їх повторювати.
Як перевірити, що спрацювало: звіт менеджера про повторні паролі показує нуль, а пароль від вашої пошти, через яку відновлюється все інше, ніде більше не використовується.
Увімкніть 2FA і оберіть правильний тип
Двофакторна автентифікація (деякі сервіси називають її двоетапною перевіркою) повністю блокує атаку з повторенням пароля. Тип має значення. Застосунок-автентифікатор або апаратний ключ безпеки кращі за одноразовий код в SMS, бо номер телефону можна перенести на іншу SIM-картку, а SMS-коди виманюють фішингом у реальному часі. Ключі та passkeys стійкі до фішингу за своєю будовою.
Як перевірити, що спрацювало: повністю вийдіть і ввійдіть знову. Якщо запиту немає, 2FA покриває лише частину процесу входу.
Збережіть резервні коди, доки вони не знадобилися
Резервні коди (їх ще називають кодами відновлення) існують на той день, коли ваш телефон відмовить. Зберігайте їх у менеджері паролів або на папері, але ніколи в нотатці, що синхронізується з акаунтом, який вони відкривають.
Як перевірити, що спрацювало: ви можете прочитати коди з пристрою, який не є вашим телефоном.
Перевірте активні сесії та пов’язані пристрої
Кожна серйозна платформа має сторінку зі списком місць, де зараз виконано вхід в акаунт, і пристроїв, на яких ще є сесія; її можна знайти в налаштуваннях безпеки самого акаунта. Пройдіться цим списком в акаунтах, які важливі: Amazon, eBay, Etsy, Shopify, Meta Ads, Google Ads, TikTok Shop. Незнайомий пристрій чи місто? Вийдіть усюди. Це також перший крок, якщо ви підозрюєте крадіжку cookie, бо так cookie зловмисника стає недійсним.
Як перевірити, що спрацювало: після перезавантаження сторінки лишилися тільки пристрої цього тижня.
Відкличте сторонні застосунки, якими не користуєтеся
Сервіс аналітики, який ви колись спробували, може досі мати API-доступ до вашого магазину чи рекламного кабінету, і такий доступ переживає зміну пароля.
Як перевірити, що спрацювало: список підключених застосунків порожній або кожен пункт у ньому ви можете пояснити одним реченням.
Рівень 2: налаштування безпеки браузера
Нижче наведено ті налаштування безпеки браузера, які справді щось змінюють.
Оновлюйте браузер (і справді перезапускайте його)
Завантажено не означає встановлено. Браузери на Chromium готують оновлення й застосовують його під час перезапуску, тому комп’ютер, який три тижні не вимикали, працює на минуломісячній версії.
Як перевірити, що спрацювало: сторінка «Про браузер» показує, що браузер оновлено, і кнопки перезапуску немає.
Увімкніть режим «лише HTTPS»
Він примусово вмикає зашифровані з’єднання й попереджає, перш ніж завантажити щось незашифроване, що закриває трюки з пониженням з’єднання в спільних мережах. Кожен великий браузер має цей перемикач у своїх налаштуваннях приватності чи безпеки; знайдіть у них HTTPS і ввімкніть параметр.
Як перевірити, що спрацювало: незашифрована адреса показує сторінку з попередженням, а не тихо завантажується.
Збережені паролі в браузері: що ви отримуєте і чим ризикуєте
Зберігати паролі в браузері зручно, і це значно краще, ніж повторювати їх. Компроміс: ці облікові дані прив’язані до вашого профілю і, на практиці, до будь-кого, хто має ваш пристрій, поки той розблокований. Користуєтеся ноутбуком разом з кимось? Перенесіть паролі в менеджер із власним блокуванням.
Як перевірити, що спрацювало: перегляд збереженого пароля вимагає автентифікації.
Автозаповнення та збережені способи оплати
Вимкніть автозаповнення карток. Виграш – кілька зекономлених секунд; ризик – сторінка, якій ви не збиралися довіряти, отримує платіжні дані через форму, на яку ви ледве глянули.
Як перевірити, що спрацювало: список збережених способів оплати порожній.
Дозволи сайтів: камера, мікрофон, геолокація, сповіщення
Дозволи, надані «лише цього разу», мають звичку ставати постійними. Відкрийте налаштування сайтів і пройдіться списком за кожним типом дозволу.
Як перевірити, що спрацювало: камера, мікрофон і геолокація показують лише сайти, якими ви активно користуєтеся, а сповіщення майже нічого.
Cookies: частина про безпеку
Важить одне: сесійні cookies – це облікові дані для входу. Очищення cookies сайту виводить вас із нього, саме це вам потрібно на спільному чи підозрілому комп’ютері. Робіть це останнім кроком на будь-якому комп’ютері, який вам не належить.
Як перевірити, що спрацювало: ви повертаєтеся на сайт, і він просить увійти.
Рівень 3: розширення
Розширення – найбільша діра в загалом охайній системі, бо вони працюють усередині сторінки з вашого дозволу. Ключова фраза, яку варто розуміти: «читати й змінювати всі ваші дані на всіх вебсайтах». Це дає розширенню змогу бачити вміст сторінок усюди, зокрема на сайтах, де ви вже ввійшли, і змінювати те, що ви бачите. Багатьом легітимним інструментам це потрібно, і в цьому проблема: попередження не може їх розрізнити.
Інший ризик – власник. Розширення можна продати, і покупець успадковує всю вашу базу встановлень разом із дозволами. Оновлення виходять тихо, а довіра до початкового розробника не переходить до нового.
Відкрийте сторінку розширень, відкрийте «Подробиці» для кожного й прочитайте, до чого воно має доступ, видаліть усе, чим не користувалися місяць, а потім перевірте, звідки взялися ті, що лишилися.
Як перевірити, що спрацювало: список став коротшим, і кожен пункт ви можете пояснити одним реченням.
Рівень 4: ваша мережа
Відкритий Wi-Fi в аеропорту чи коворкінгу менш небезпечний, ніж про нього кажуть, бо HTTPS шифрує ваш трафік. Але він не приховує, які сайти ви відвідуєте, і не допоможе проти captive portal, що підштовхує вас на фальшиву сторінку входу.
Зашифрований DNS (DNS over HTTPS) приховує ваші запити від того, хто керує мережею, хоча IP-адреса призначення все одно не є секретом. Це галочка в браузері або в мережевих налаштуваннях операційної системи, а не те, що треба купувати.
Як перевірити, що спрацювало: у налаштуваннях безпечного DNS указано провайдера, а не «Вимкнено»; на кожній сторінці, де ви щось вводите, є замок; VPN-клієнт показує підключення ще до входу в акаунт.
І заперечення, яке є в усіх: чи захищає VPN мої акаунти? Ні. VPN переносить кінцеву точку вашого з’єднання. Він не зупиняє фішинг чи credential stuffing і нічого не робить з украденим сесійним cookie.
Рівень 5: ваш пристрій
Усе це передбачає, що ніхто не має фізичного доступу до розблокованого комп’ютера. Налаштуйте блокування екрана з коротким тайм-аутом, бо ноутбук, залишений відкритим на перерві на каву, обходить усі налаштування з цієї сторінки за той час, поки хтось за нього сідає. Увімкніть повне шифрування диска, яке входить в операційну систему: FileVault на macOS і шифрування пристрою на Windows, де повний набір функцій BitLocker не входить у редакцію Home, тож перевірте, що дає саме ваша редакція. Своєчасно оновлюйте ОС, використовуйте окремий профіль користувача для роботи на спільному комп’ютері й робіть резервні копії. Для телефонів і планшетів – ті самі основи: блокування екрана, автоматичні оновлення, перевірка дозволів застосунків.
Як перевірити, що спрацювало: після блокування екрана потрібен пароль, а не просто продовження роботи; панель шифрування показує, що диск зашифровано; на екрані «Про систему» немає оновлення, яке чекає перезапуску; і ви хоч раз відновили файл із резервної копії.
Один абзац про стеження
Деякі налаштування поруч із цими зовсім не про безпеку. Блокування сторонніх cookies і захист від стеження спрямовані проти рекламних мереж, що складають профіль вашої поведінки: це інший механізм з іншими компромісами, і він заслуговує окремого розгляду. Не змішуйте ці дві цілі. Ніщо в цьому абзаці не захищає акаунт, і ніщо вище не зупиняє рекламну мережу.
Де цей чекліст перестає працювати
Дві чесні межі. По-перше, приватний режим чи режим інкогніто не робить вас анонімним. Він не зберігає історію на локальному комп’ютері, і це вся його функція.
По-друге, налаштування браузера розраховані на одну людину з одним набором акаунтів. Щойно ви ведете багато акаунтів, які не можна пов’язувати між собою, один браузер перестає бути правильним інструментом: сесії, cookies і збережені логіни живуть разом в одному профілі, і жодна галочка їх не розділить. Згадайте фрилансера, який веде рекламні кабінети чотирьох клієнтів з особистого браузера, або власника магазину, що дає асистенту логін і пароль, бо іншого способу делегувати не було. Обидва випадки – проблема ізоляції сесій, а не налаштувань.
🚀 Dolphin Anty створено саме для такого випадку: це застосунок для Windows, macOS і Linux, що запускає кожен акаунт в окремому профілі браузера з власними cookies, сховищем і відбитком, а командам дає права доступу замість спільних паролів. Це не продукт для безпеки, і слабкий пароль він не врятує, тож сприймайте його як рівень, що починається там, де закінчується цей чекліст. Актуальні тарифи наведено на сторінці цін.
Повний чекліст безпечного серфінгу (скопіюйте, роздрукуйте, позначайте)
Акаунт
- Унікальний пароль для кожного акаунта з менеджера паролів.
- Пароль від пошти, який ніде більше не використовується.
- 2FA через застосунок-автентифікатор або ключ, а не SMS.
- Резервні коди збережено там, де до них можна дістатися без телефону.
- Активні сесії перевірено, з невідомих пристроїв виконано вихід.
- Невикористовувані сторонні застосунки відкликано.
Браузер
- Браузер оновлено й перезапущено.
- Режим «лише HTTPS» увімкнено.
- Збережені паролі перенесено в менеджер із блокуванням.
- Автозаповнення карток і збережені способи оплати вимкнено.
- Дозволи на камеру, мікрофон, геолокацію та сповіщення перевірено.
- На чужих комп’ютерах cookies очищено й сесії завершено.
Розширення
- Усе, чим не користувалися місяць, видалено.
- Дозволи кожного розширення, що лишилося, прочитано.
- Джерело й розробника перевірено.
Мережа
- Відкритий Wi-Fi вважається ворожим.
- Зашифрований DNS увімкнено.
- VPN сприймається як захист з’єднання, а не акаунта.
Пристрій
- Блокування екрана з коротким тайм-аутом.
- Шифрування диска ввімкнено.
- Оновлення операційної системи встановлено.
- Окремий профіль для роботи.
- Резервна копія, з якої ви хоч раз відновлювалися.
Поширені запитання
Як перевірити безпеку браузера?
Відкрийте в налаштуваннях розділ приватності й безпеки та перевірте чотири речі: браузер оновлено, режим «лише HTTPS» увімкнено, у дозволах сайтів лише ті сайти, якими ви користуєтеся, збережених способів оплати немає. Потім відкрийте сторінку подробиць кожного розширення й прочитайте, до чого воно має доступ.
Як перевірити, чи не зламано мій браузер?
Шукайте симптоми: домашня сторінка, яку ви не встановлювали, розширення, встановлення яких ви не пам’ятаєте, вкладки, що відкриваються самі, переадресації, яких ви не просили. Це викрадення браузера, зазвичай через розширення. Видаліть його, скиньте налаштування до стандартних, запустіть антивірусну перевірку, а потім змініть паролі з чистого пристрою.
Який найбезпечніший спосіб серфінгу?
Оновлений браузер, режим «лише HTTPS», короткий список розширень, унікальні паролі в менеджері, 2FA всюди, де її пропонують.
Як увімкнути Safe Browsing?
Chrome і Edge за замовчуванням вмикають систему попереджень про фішинг і шкідливе ПЗ. Chrome пропонує три рівні: розширений захист, стандартний захист і без захисту. Стандартний рівень гібридний, а не простий чорний список: копія списку відомих небезпечних сайтів лежить на вашому пристрої й перевіряється локально, а доповнюють її перевірки в реальному часі через сервер приватності, що приховує вашу IP-адресу. Він охоплює сайти, завантаження й розширення. Firefox і Safari мають аналогічний захист від оманливих сайтів, також увімкнений за замовчуванням. У кожному з них цей параметр розміщено в налаштуваннях приватності й безпеки браузера.
Як вимкнути Safe Browsing?
Вимкнення – це третій рівень, а не окремий перемикач: у налаштуваннях безпеки Chrome оберіть «Без захисту», і перед застосуванням браузер покаже попередження з підтвердженням. Прочитайте його. Без захисту ви не отримуватимете сповіщень про небезпечні сайти, завантаження чи розширення, а інші сервіси Google, що спираються на ті самі сигнали, теж їх утратять. Якщо ви вимикаєте захист, щоб завантажити один файл, поверніть стандартний рівень того ж дня.
Які три способи захистити онлайн-акаунт?
Унікальний пароль, другий фактор, що не є SMS, і регулярна перевірка активних сесій та підключених застосунків. Третій усі пропускають, хоча лише він виявляє зловмисника, який уже всередині.
Чи є «безпечний браузер», який можна просто встановити?
Ні. Браузери відрізняються налаштуваннями за замовчуванням, і деякі постачаються з суворішими, але різниця між безпечною і вразливою системою – це п’ять рівнів, описаних вище. Пройдіть їх у браузері, який ви вже маєте.
