Bezpieczeństwo strony firmowej — checklista na jedno popołudnie

Twoja strona nie jest za mała, żeby ją zaatakować

Najczęstsze zdanie, jakie słyszę przy tym temacie: „kto by się interesował moją stroną". I to jest właśnie nieporozumienie. Nikt się nią nie interesuje — bo atak na małą firmową witrynę praktycznie nigdy nie jest decyzją człowieka. To bot, który skanuje kolejne adresy IP i sprawdza, czy strona nie ma znanej, niezałatanej dziury: starej wtyczki, zapomnianego motywu, panelu logowania z hasłem „admin123”.

Skoro atak jest automatyczny, obrona nie musi być wyrafinowana — wystarczy nie być łatwym celem. Ta lista to nie audyt za kilkanaście tysięcy złotych, tylko zestaw rzeczy, które właściciel firmy albo jego wykonawca ogarnia w jedno popołudnie.

Zanim zaczniesz, jedna rzecz porządkowa: spisz, co właściwie masz — adres strony, hosting, domenę, kto ma dostęp do panelu, gdzie stoi poczta, jakie wtyczki i integracje działają. Bez tej mapy reszta listy będzie zgadywaniem.

1. HTTPS i HSTS — 20 minut

Certyfikat SSL to dziś minimum. Nie chodzi już nawet o samo szyfrowanie — chodzi o to, że przeglądarka pokazuje ostrzeżenie „Niezabezpieczona", a klient zamyka kartę, zanim przeczyta pierwsze zdanie. Co odhaczyć:

• Certyfikat jest aktywny i odnawia się sam. U większości hostingów Let's Encrypt jest w cenie. Sprawdź, czy autoodnawianie działa — wygasły certyfikat to najgłupszy powód, żeby strona wyglądała na zhakowaną.
• Cała strona idzie po HTTPS. Wpisz adres z http:// — powinno przerzucić na https://; jeśli nie, dopisz przekierowanie 301.
• Brak mixed content. Zdjęcia czy skrypty ładowane po HTTP na stronie HTTPS psują kłódkę. Prawy klik → Zbadaj → konsola: czerwone ostrzeżenia wskażą pliki do poprawienia.
• HSTS. Nagłówek Strict-Transport-Security mówi przeglądarce: na tę domenę wchodź wyłącznie po HTTPS. Jedna linijka w konfiguracji serwera — włączaj dopiero, gdy trzy punkty wyżej są zrobione.

2. Aktualizacje — co, jak często i kiedy nie automatycznie

Większość włamań na małe strony to wejście przez znaną dziurę w komponencie, dla którego łatka istniała od miesięcy. Wniosek jest prosty: aktualizowana strona jest bezpieczniejsza od nieaktualizowanej, nawet jeśli nic więcej z tej listy nie zrobisz. Praktyczny podział:

• Poprawki bezpieczeństwa (minor) — automatycznie. Rzadko cokolwiek psują. Włącz i nie myśl o nich.
• Wersje główne (major) — ręcznie, po kopii. Skok wersji potrafi rozjechać layout: najpierw kopia, potem aktualizacja, potem przegląd kluczowych podstron.
• Wtyczki i motywy, których nie używasz — usuń. Wyłączona wtyczka nadal leży na serwerze i nadal może być furtką.
• Porzucone komponenty — wymień. Wtyczka bez aktualizacji od dwóch lat nie jest już przez nikogo łatana. Znajdź zamiennik, zanim znajdzie ją bot.

Raz w miesiącu, kwadrans: wejdź, zaktualizuj, kliknij po stronie. Jeśli Twoja witryna jest statyczna — a tak budujemy większość stron w ulepsz.ai — ten punkt kurczy się niemal do zera, bo nie ma bazy ani wtyczek do łatania (strona w tydzień — proces).

3. Kopie zapasowe — i jedyny test, który się liczy

Kopia zapasowa nie chroni przed włamaniem. Chroni przed jego skutkami — a przy okazji przed awarią dysku, nieudaną aktualizacją i własną pomyłką o 23:00. Dlatego jest ważniejsza od reszty tej listy. Trzy warunki, żeby była coś warta:

• Leży poza serwerem strony. Kopia w tym samym katalogu ginie razem ze stroną. Chmura, dysk zewnętrzny, inny dostawca — byle nie tam, gdzie oryginał.
• Ma historię, nie tylko ostatni stan. Nadpisujesz jedną kopię codziennie, a infekcję zauważasz po tygodniu — masz siedem kopii zainfekowanej strony. Trzymaj 30 dni wstecz.
• Obejmuje pliki i bazę danych. Sama baza to treść bez strony, same pliki to strona bez treści.

I punkt, który odróżnia realne bezpieczeństwo od poczucia bezpieczeństwa: raz na kwartał odtwórz stronę z kopii — na subdomenie testowej, lokalnie, gdziekolwiek. Kopia, z której nikt nigdy nie odtwarzał strony, jest hipotezą, nie zabezpieczeniem. O tym, że nie działa, dowiadujesz się w najgorszym możliwym momencie.

4. 2FA na panelu, hostingu, domenie i poczcie

Dwuskładnikowe logowanie (2FA) to najtańszy zysk bezpieczeństwa, jaki istnieje: darmowy, jednorazowy, kilka minut na konto. Nawet jeśli ktoś zdobędzie Twoje hasło, bez drugiego składnika nie wejdzie. Ustawiaj od najbardziej krytycznego konta w dół:

• Rejestrator domeny. Najważniejszy, a prawie zawsze zapomniany — kto ma domenę, ma stronę, pocztę i możliwość podszycia się pod firmę. Włącz też blokadę transferu.
• Hosting — dostęp do panelu to dostęp do plików i bazy.
• Poczta firmowa — przez skrzynkę resetuje się hasła do reszty usług, to klucz zapasowy do całej firmy.
• Panel strony / CMS. Plus zasada: każdy ma własne konto, nikt nie współdzieli loginu, a rola „administrator" tylko dla tych, którzy jej potrzebują.

Do tego menedżer haseł dla zespołu — żeby hasła przestały krążyć w SMS-ach i notatkach, a przy odejściu pracownika dało się odciąć dostępy jednym ruchem. Kod SMS jest lepszy niż nic, ale aplikacja z kodami albo klucz sprzętowy są wyraźnie bezpieczniejsze.

5. Dostępy po zmianie wykonawcy — najczęściej pomijany punkt

Rozstajesz się z agencją albo freelancerem. Strona działa, więc nikt nie myśli o dostępach — miesiącami. To najczęstsza dziura w małych firmach: nie złośliwość wykonawcy, tylko konta, klucze i integracje, o których wszyscy zapomnieli. Do zrobienia w tygodniu rozstania:

• Usuń konta, nie tylko zmieniaj hasła. W panelu strony, hostingu, CRM-ie — konto, którego nie ma, nie może zostać przejęte. Hasła do tego, co było współdzielone (hosting, FTP, baza, poczta, rejestrator), zmień wszystkie.
• Odłącz klucze SSH i tokeny API. Klucz dodany rok temu działa nadal, choć nikt o nim nie pamięta.
• Sprawdź, na kogo zarejestrowana jest domena i hosting. Jeśli na wykonawcę — przenieś na firmę. Tu najczęściej traci się kontrolę nad własnym adresem.
• Przejmij konta analityczne i reklamowe. Analytics, Search Console, Tag Manager — właścicielem ma być Twoja firma, wykonawca dostaje dostęp gościa.
• Odbierz kod źródłowy i dane do usług na piśmie — najlepiej zapisz to już w umowie (brief dla wykonawcy strony).

6. Formularze: spam, walidacja, dane

Formularz to jedyne miejsce, w którym Twoja strona przyjmuje coś od nieznajomego — i dlatego naturalny cel botów spamujących oraz prób wstrzyknięcia kodu.

• Antyspam bez captchy tam, gdzie się da. Pole-pułapka (honeypot — niewidoczne dla człowieka, wypełniane przez bota) plus minimalny czas wypełnienia odsiewa większość automatów. Captcha dopiero, gdy to nie wystarcza: każda przeszkoda kosztuje zapytania i utrudnia korzystanie osobom z niepełnosprawnościami (dostępność cyfrowa strony).
• Walidacja po stronie serwera, nie tylko w przeglądarce. Walidacja w JavaScripcie to wygoda dla użytkownika — bot omija ją w całości. Serwer musi sprawdzić wszystko jeszcze raz.
• Limit wysyłek z jednego adresu IP. Kilka zgłoszeń na minutę wystarczy każdemu klientowi i zabija masowy spam.
• Zgoda i informacja o przetwarzaniu danych. Checkbox zgody, link do polityki prywatności, jasna informacja o administratorze danych. To praktyka przedsiębiorcy, nie porada prawna — przy wątpliwościach co do zakresu zgód zapytaj prawnika.

7. Monitoring — dowiedz się przed klientem

Najgorszy sposób, żeby dowiedzieć się o awarii, to telefon od klienta: „u was nic się nie otwiera". Monitoring rozwiązuje to za darmo albo prawie za darmo.

• Uptime monitoring. Usługa co minutę odpytuje stronę i wysyła SMS-a lub maila, gdy przestaje odpowiadać. Darmowe plany zwykle wystarczają małej firmie.
• Alert o wygasającym certyfikacie i domenie. Domena wygasa cicho — ustaw przypomnienie w kalendarzu na 30 dni przed terminem, niezależnie od maili rejestratora, które lubią wpaść do spamu.
• Search Console. Google potrafi wykryć złośliwe oprogramowanie wcześniej niż Ty i powiadomi Cię mailem.
• Rzut oka na czas ładowania. Nagłe spowolnienie bywa pierwszym objawem, że na serwerze dzieje się coś, czego nie zaplanowałeś (szybkość strony a sprzedaż).

Ryzyko → zabezpieczenie → koszt i czas

Cała lista w jednej tabeli. Czasy dotyczą pierwszego wdrożenia, koszty to orientacyjne widełki rynkowe dla małej firmy.

Razem: około czterech godzin, w większości jednorazowo, i rząd kilkudziesięciu złotych miesięcznie kosztów stałych — mniej, niż kosztuje jeden dzień przestoju strony (ile kosztuje strona internetowa).

Co robić po włamaniu — kolejność, która ratuje najwięcej

Zakładamy najgorsze: strona przekierowuje na kasyno, Google pokazuje ostrzeżenie, klienci dzwonią. Zasada pierwsza — nie kasuj niczego w panice. Druga — trzymaj się kolejności.

Pierwsza godzina

• Zrób kopię stanu zainfekowanego i pobierz logi serwera. To materiał dowodowy: pozwoli ustalić, którędy weszli i czy dane wyciekły. Logi rotują się i po kilku dniach ich nie ma.
• Odetnij dostęp. Zmień hasła (hosting, FTP, baza, panel, poczta), wyloguj aktywne sesje, usuń nieznane konta administratorów.
• Pokaż stronę serwisową. Lepszy komunikat „przerwa techniczna" niż witryna rozsyłająca złośliwe oprogramowanie klientom.

Pierwszy dzień

• Odtwórz stronę z kopii sprzed infekcji — nie z ostatniej, tylko z tej, o której wiesz, że była czysta. Tu zwraca się historia kopii z punktu 3.
• Załataj to, którędy weszli, zanim strona wróci — inaczej powtórka będzie w tym samym tygodniu.
• Ustaw 2FA tam, gdzie go nie było, i zgłoś stronę do ponownego sprawdzenia w Search Console, jeśli Google oznaczył ją jako niebezpieczną.

Pierwszy tydzień

• Sprawdź, czy wyciekły dane osobowe. Jeśli tak, co do zasady obowiązuje zgłoszenie do UODO w ciągu 72 godzin od stwierdzenia naruszenia, a przy wysokim ryzyku także powiadomienie osób, których dane dotyczą. To praktyka przedsiębiorcy, nie porada prawna — od oceny ryzyka zależy zakres obowiązków, więc skonsultuj to z prawnikiem.
• Poinformuj klientów, jeśli ich to dotyczy — krótko i konkretnie. Milczenie kosztuje więcej niż przyznanie się do incydentu.
• Spisz, co się stało i co zmieniłeś — jedna strona notatek, za pół roku bezcenna.

Checklista na jedno popołudnie

Do odhaczenia po kolei. Czasy realistyczne dla kogoś, kto robi to pierwszy raz:

• 0:00–0:30 — spis: strona, hosting, domena, poczta, dostępy, wtyczki, integracje.
• 0:30–0:50 — SSL: certyfikat aktywny, autoodnawianie, przekierowanie na HTTPS, zero mixed content.
• 0:50–1:20 — aktualizacje: minor automatycznie, major po kopii, nieużywane wtyczki i motywy usunięte.
• 1:20–2:00 — kopie: poza serwerem, historia 30 dni, pliki plus baza, test odtworzenia wpisany do kalendarza.
• 2:00–2:30 — 2FA: domena, hosting, poczta, panel. Menedżer haseł dla zespołu.
• 2:30–3:15 — dostępy: konta byłych współpracowników usunięte, hasła zmienione, klucze i tokeny przejrzane, domena i hosting na firmę.
• 3:15–3:45 — formularze: honeypot, walidacja serwerowa, limit wysyłek, zgoda i polityka prywatności.
• 3:45–4:00 — monitoring: uptime z alertem, przypomnienia o certyfikacie i domenie, Search Console.

Do kalendarza wpisz jeszcze trzy powtarzalne rzeczy: kwadrans miesięcznie na aktualizacje, kwartalny test odtworzenia kopii i roczny przegląd, kto ma dostęp do czego. To cały „program bezpieczeństwa" małej firmy — i w praktyce wystarczy.

FAQ — najczęstsze pytania

Przeczytaj też

Zacznij od kopii, skończ na monitoringu

Jeśli z całej listy masz zrobić jedną rzecz — zrób kopię poza serwerem i sprawdź, że da się z niej odtworzyć stronę. Druga w kolejności: 2FA na domenie. Trzecia: aktualizacje. Reszta to domykanie.

A jeśli wolisz, żeby ktoś przeszedł przez tę listę razem z Tobą — napisz albo zadzwoń. Zobacz, jak budujemy i utrzymujemy strony firmowe: strony.ulepsz.ai. Telefon: 792 373 575, mail: kontakt@ulepsz.ai.

← wszystkie wpisy