Läget: en sex år gammal WordPress-sajt och en AI-pilot
Företaget är en svensk grossist med några dussin anställda som säljer både till företag och till privatpersoner. Webbplatsen byggdes i WordPress för sex år sedan, och två år senare lades ett webbutikstillägg till för privatkunderna. Den som byggde sajten är inte längre inblandad, och uppdateringar görs av den som har tid. I våras startade marknadsavdelningen en pilot med en AI-chattbot på webbplatsen, kopplad till produktkatalogen. Ledningen vill veta om sajten ska byggas om, vad som ska hända med chattboten och vad som är riskabelt just nu. Den frågan blev uppdraget för en genomgång av webb, IT och AI.
Vad vi tittade på
Vi läste sajten som en besökare, en sökmotor och en angripare skulle göra. Det omfattade WordPress-installationen, temat och tilläggen, PHP-versionen, hastigheten på en mobiluppkoppling, data från Search Console och hur kassan i webbutiken beter sig. För drift och domäner följde vi kedjan från registrar till DNS och vidare till de servrar och tjänster som varje post pekar på, inklusive posterna för e-post. I AI-piloten tittade vi på vilken leverantör och modell den använder, var API-nyckeln ligger, vilken data chattboten skickar och hur svaren kontrolleras. Vi frågade också vem som har tillgång till vad och vem som skulle märka om något gick sönder.
Det vi hittade på webbplatsen
Sajten kör en PHP-version som inte längre får säkerhetsuppdateringar, och elva av 38 tillägg väntar på uppdatering. Två av dem har övergetts av sina utvecklare. Temat bygger på en sidbyggare som laddar en stor mängd skript på varje sida, och stora, okomprimerade produktbilder gör att det största innehållselementet laddar långsamt i mobilen. Synligheten i sök är god på varumärket men svag på produktkategorierna, eftersom kategorisidorna har lite text och dubblerade titlar. Kassan fungerar men kräver ett konto före betalningen. Genomgången av webbplatsen beskriver samma områden mer allmänt.
Det vi hittade i drift, domäner och e-post
Domänen är registrerad på ett privat konto som tillhör en tidigare anställd, så företaget kan inte förnya eller flytta den utan den personen. DNS ligger hos en tredje leverantör. En gammal underdomän pekar fortfarande, med en CNAME-post, på en hostingtjänst där kampanjsajten är borttagen. Det betyder att någon annan kan ta namnet där och visa eget innehåll på företagets underdomän. SPF-posten saknar nyhetsbrevsverktyget, så de utskicken klarar inte SPF, och någon DMARC-post finns inte. Säkerhetskopior tas, men ingen hade provat att återställa en.
Det vi hittade i AI-piloten
Chattboten är ett tillägg som anropar en AI-leverantör direkt, med en API-nyckel som ligger i WordPress-inställningarna och är skapad på en konsults privata konto. Det finns inget kostnadstak, och fakturan går till konsultens kort. Chattboten får hela konversationen, med namn och ordernummer som kunderna skriver in, och ingen har bestämt om det är acceptabelt eller var datan behandlas. Svaren testas inte mot en uppsättning kända frågor, så ingen vet hur ofta den anger fel pris eller fel leveranstid. Den sortens frågor ingår i genomgången av AI.
Det vi skulle göra först, och det som kan vänta
Först flyttas domänen till ett konto som företaget äger, den hängande underdomänen tas bort, en återställning från säkerhetskopia provas och PHP och tilläggen uppdateras med en testkopia av sajten som skyddsnät. Sedan läggs nyhetsbrevsverktyget in i SPF, och DMARC publiceras med p=none för att börja samla rapporter. Chattboten får en nyckel på företagets eget konto med ett kostnadstak, och en kort testsvit med verkliga frågor innan den visas för fler besökare. En ny webbplats kan vänta. Kategoritexter, titlar och bildstorlekar går att rätta på den nuvarande sajten, och en ombyggnad blir ett beslut för nästa år, med bättre underlag.
Det här fick de skriftligt
Företaget fick en skriftlig rekommendation på några sidor. Den beskriver nuläget i klartext, ordnar riskerna efter hur stor skada de kan göra och anger alternativen för var och en, med vad varje alternativ kräver. För de större frågorna, att bygga om sajten och att bygga ut chattboten, står det vad som behöver vara känt innan beslutet tas. Där står också vad vi skulle göra först. Dokumentet tillhör företaget och kan lämnas till den som gör jobbet, internt eller utifrån.