Bezpečnost webu: základní checklist pro malé firmy

Nejjednodušší cestou k SSL certifikátu je Let's Encrypt — bezplatná certifikační autorita, kterou podporuje většina hostingů. Na hostingu obvykle stačí jedno kliknutí v administraci. Certifikát se automaticky obnovuje každých devadesát dní. Po aktivaci HTTPS nastavte přesměrování z HTTP na HTTPS (301 redirect), aby všechny stránky bez výjimky používaly šifrované spojení.

Aktualizujte jádro CMS, všechny pluginy a šablony ihned po vydání nové verze. U menších webů nastavte automatické aktualizace. U větších projektů testujte nejprve na staging prostředí. Odstraňte pluginy a šablony, které nepoužíváte — i neaktivní rozšíření mohou obsahovat zranitelnosti.

Dvoufaktorové ověření (2FA) přidává druhou vrstvu ochrany. I pokud útočník získá vaše heslo, bez druhého faktoru (kód z aplikace, SMS nebo fyzický klíč) se nepřihlásí. Nastavte 2FA pro administraci webu, hosting, e-mail a všechny kritické služby. Preferujte aplikace jako Google Authenticator nebo Authy před SMS, protože SMS lze zachytit.

Ukládejte zálohy na jiné místo než na samotný server (off-site). Pokud útočník napadne server, může smazat i zálohy uložené na něm. Využijte cloudové úložiště (Google Drive, Amazon S3) nebo zálohovací službu hostingu na odděleném serveru.

Pravidelně testujte obnovu ze zálohy. Záloha, ze které nelze obnovit web, je bezcenná. Alespoň jednou za čtvrtletí proveďte zkušební obnovu na testovacím prostředí a ověřte, že web funguje správně.

UptimeRobot nabízí bezplatný plán s monitoringem až padesáti webů v pětiminutových intervalech. Pingdom a Better Uptime nabízejí pokročilejší funkce včetně stránky stavu (status page) a integrace s dalšími nástroji. Nastavte monitoring na hlavní stránku a na kritické podstránky (kontaktní formulář, objednávkový proces).

Rate limiting omezuje počet požadavků z jedné IP adresy za časovou jednotku. Zabraňuje brute-force útokům na přihlášení a přetížení serveru. Na serveru lze nastavit fail2ban, který automaticky blokuje IP adresy po opakovaných neúspěšných pokusech o přihlášení.

Pro databázové dotazy používejte výhradně prepared statements (parametrizované dotazy), nikdy neskládejte SQL příkazy z uživatelského vstupu. Input validation ověřuje formát dat (e-mail, telefon, čísla), zatímco sanitization čistí obsah od škodlivého kódu. Obě techniky jsou nutné současně.

X-Content-Type-Options: nosniff zabraňuje prohlížeči hádat typ souboru a tím potenciálně spouštět škodlivý kód. Strict-Transport-Security (HSTS) nutí prohlížeč používat vždy HTTPS. Tyto hlavičky nastavíte v konfiguraci serveru (Apache: .htaccess, Nginx: nginx.conf) nebo přes Cloudflare.

Vytvořte oddělené účty pro každou osobu s přístupem k administraci. Sdílené účty znemožňují dohledat, kdo provedl konkrétní změnu, a představují bezpečnostní riziko. Pravidelně revidujte seznam uživatelů a odstraňujte účty bývalých zaměstnanců nebo spolupracovníků.

Sledujte Google Search Console — pokud Google detekuje malware na vašem webu, zobrazí varování v sekci Zabezpečení. Nastavte také upozornění na neočekávané změny souborů na serveru pomocí nástroje pro monitoring integrity souborů.

Po obnově prověřte, jakým způsobem k napadení došlo, a zabezpečte zranitelné místo. Pokud web obsahoval osobní údaje, zvažte povinnost nahlásit incident podle GDPR (do 72 hodin Úřadu pro ochranu osobních údajů). Informujte dotčené uživatele, pokud mohla být ohrožena jejich data.

Zakažte editaci souborů z administrace (define DISALLOW_FILE_EDIT v wp-config.php). Omezte počet pokusů o přihlášení. Skryjte verzi WordPress ze zdrojového kódu. Používejte pouze pluginy a šablony z důvěryhodných zdrojů s pravidelnými aktualizacemi a vysokým počtem aktivních instalací.

Uchovávejte pouze data, která skutečně potřebujete, a po uplynutí účelu je smažte. Formulářová data odesílaná e-mailem by měla jít přes šifrovaný kanál (TLS). Veďte záznamy o zpracování osobních údajů a mějte připravenou proceduru pro žádosti o výmaz nebo přenositelnost dat.