Kontrolní seznam zabezpečení webu: 20 věcí, které byste měli zkontrolovat hned teď

Kybernetické útoky už dávno nejsou výsadou firem z Fortune 500 a vládních agentur. Podle zprávy Data Breach Investigations Report od Verizonu bylo v roce 2025 43 % všech zaznamenaných úniků dat zaměřeno na malé a střední firmy. Útočníci vědí, že menší organizace často nemají vlastní bezpečnostní týmy, což z nich dělá snadný cíl pro automatizované sady exploitů, které skenují internet nepřetržitě. Jediný kompromitovaný kontaktní formulář nebo zastaralý plugin může odhalit zákaznická data, srazit vaše pozice ve vyhledávání a spustit regulatorní pokuty, které mnohonásobně převýší náklady na prevenci.

V GRADAXu jsme následky viděli na vlastní oči. Klient s regionálním e-shopem se na nás obrátil poté, co byla do jeho platební stránky vložena skimmer na kreditní karty, který fungoval jedenáct dní bez povšimnutí. Finanční škoda byla značná, ale poškození reputace bylo horší, míra opakovaných nákupů u nich v kvartálu po zveřejnění incidentu klesla o 38 %. Tento incident vykrystalizoval princip, který nyní uplatňujeme u každého projektu: bezpečnost je infrastruktura, ne něco, co se řeší dodatečně.

Tento kontrolní seznam shrnuje dvacet nejúčinnějších bezpečnostních opatření, která zavádíme napříč našimi hostingovými a webovými projekty. Nepotřebujete na ně šestciferný bezpečnostní rozpočet. Většinu zvládnete za jedno odpoledne a společně eliminují drtivou většinu útočných vektorů, které skuteční útočníci zneužívají. Ať už si spravujete vlastní servery, nebo se spoléháte na spravovaný hosting, tato opatření se vás týkají.

Každá stránka vašeho webu by se měla načítat přes HTTPS s platným SSL certifikátem. V roce 2026 je to naprostá nutnost. Prohlížeče označují weby na HTTP jako nezabezpečené, vyhledávače je penalizují v žebříčcích a jakákoli data přenášená bez šifrování, přihlašovací údaje, odeslané formuláře, platební údaje, může zachytit kdokoli na stejné síti. Bezplatné certifikáty od Let's Encrypt odstranily cenu jako výmluvu, takže není důvod odkládat.

Kromě instalace certifikátu ověřte, že váš server vynucuje HTTPS přesměrováním všech HTTP požadavků pomocí 301 redirectu. Zkontrolujte, že máte nastavenou hlavičku HSTS (HTTP Strict Transport Security) s max-age alespoň jeden rok a direktivou includeSubDomains. Tím prohlížečům říkáte, aby se vždy připojovaly přes HTTPS, i když uživatel zadá URL bez prefixu protokolu. Doporučujeme také přidat vaši doménu do seznamu HSTS preload, který spravují výrobci prohlížečů a který přímo zabuduje požadavek HTTPS do Chrome, Firefoxu a Safari.

Mezi časté problémy patří varování na smíšený obsah, kdy se stránka načítá přes HTTPS, ale odkazuje na obrázky, skripty nebo styly přes HTTP. Spusťte crawl pomocí nástroje, jako je Screaming Frog, nebo použijte vývojářskou konzoli prohlížeče k identifikaci problémů se smíšeným obsahem. Každý zdroj, fonty, analytické skripty, vložené iframy, koncové body API, musí používat adresy URL protokolu HTTPS. Jediný zdroj protokolu HTTP může způsobit zmizení zámečku a podkopat důvěru návštěvníků.

Zastaralý software je jediným nejvíce zneužívaným útočným kanálem na webu. Jádro WordPressu, pluginy, šablony, serverové operační systémy, PHP runtime, databázové enginy, každá vrstva vašeho stacku dostává pravidelně bezpečnostní záplaty a každá nezáplatovaná komponenta je zdokumentovaná zranitelnost, kterou útočníci mohou zneužít pomocí hotových nástrojů. Únik dat u Equifaxu, který odhalil 147 milionů záznamů, způsobil jediný nezáplatovaný závislý balíček Apache Struts. Měřítko není podmínkou pro katastrofu.

Doporučujeme disciplinovaný cyklus aktualizací: kritické bezpečnostní záplaty do 24 hodin od vydání, všechny ostatní aktualizace do sedmi dnů. U webů na WordPressu zapněte minimálně automatické menší a bezpečnostní aktualizace. U vlastních aplikací zařaďte skenování závislostí do svého deployment pipeline, nástroje jako Dependabot, Snyk nebo Renovate označí zranitelné balíčky dříve, než se dostanou do produkce. Pokud běžíte na našem spravovaném hostingu, záplaty operačního systému a runtime řešíme automaticky, ale závislosti na úrovni aplikace zůstávají vaší odpovědností.

Aktualizace testujte v testovacím prostředí, než je nasadíte do produkce. Viděli jsme dobře míněné bezpečnostní záplaty, které rozbily platební brány, kontaktní formuláře a přihlašovací toky, protože aktualizace pluginu přinesla nekompatibilitu. Pětiminutový test v testovacím prostředí zabrání pětihodinovému výpadku produkce. Pokud váš poskytovatel hostingu nenabízí testovací prostředí na jeden klik, je to samo o sobě dostatečný důvod zvážit přechod k poskytovateli, který ho nabízí.

Hesla zůstávají nejslabším článkem většiny bezpečnostních řetězců. Útoky credential stuffing, při nichž útočníci testují kombinace uživatelských jmen a hesel uniklých z jiných úniků, tvoří přes 60 % útoků souvisejících s přihlášením. Pokud je vaše administrátorské heslo k WordPressu „firma2024“ nebo root heslo k databázi „heslo123“, necháváte v podstatě odemčené dveře. Každý účet s přístupem k infrastruktuře vašeho webu by měl používat jedinečné heslo o délce alespoň šestnácti znaků vygenerované správcem hesel.

Vícefaktorové ověřování (MFA) je jedinou nejúčinnější obranou proti neoprávněnému přístupu. I když útočník získá platné heslo prostřednictvím phishingu nebo úniku dat, bez druhého faktoru se nepřihlásí. MFA vynucujeme u každého administrátorského účtu na naší hostingové platformě a důrazně doporučujeme klientům, aby totéž udělali pro svůj CMS, registrátora domén, poskytovatele DNS, e-mail a jakýkoli SaaS nástroj s přístupem k produkčním datům. Autentizační aplikace jako Authy nebo hardwarové klíče jako YubiKey jsou výrazně bezpečnější než SMS kódy, které jsou zranitelné vůči útokům SIM-swapping.

Omezte počet pokusů o přihlášení, než se spustí uzamčení účtu nebo CAPTCHA výzva. Pět neúspěšných pokusů během deseti minut by mělo účet uzamknout na patnáct minut nebo vyžadovat ověření člověkem. Toto jednoduché opatření zastaví brute-force útoky raz dva. Také každé čtvrtletí prověřte seznam administrátorských uživatelů a odstraňte účty bývalých zaměstnanců, dodavatelů a agentur, se kterými už nespolupracujete. Každý aktivní účet je útočná plocha.

Zálohy jsou vaše poslední linie obrany, když všechno ostatní selže. Ransomware zašifruje vaše soubory, zlomyslný plugin smaže databázi, vývojář omylem smaže produkční složku s nahranými soubory, bez spolehlivé a otestované zálohy může kterýkoli z těchto scénářů znamenat trvalou ztrátu dat. Otázkou není, zda zálohy potřebujete, ale zda by vaše současná strategie zálohování v krizi skutečně pomohla.

Dodržujte pravidlo 3-2-1: udržujte alespoň tři kopie svých dat na dvou různých úložných médiích, přičemž jedna kopie je uložena mimo lokalitu. U webů to znamená automatické denní zálohy uložené na stejném serveru (pro rychlé obnovení), replikované na samostatný server nebo do cloudového úložiště (pro redundanci) a archivované do geograficky vzdálené lokality (pro obnovu po havárii). Naše infrastruktura pro zálohování a obnovu uchovává denní snímky po dobu třiceti dnů, týdenní snímky po dobu tří měsíců a měsíční snímky po dobu jednoho roku.

Nejkritičtějším a nejčastěji opomíjeným krokem je testování záloh. Záloze, kterou jste nikdy neobnovili, nemůžete věřit. Naplánujte čtvrtletní test obnovy, při kterém ze své nejnovější zálohy spustíte stagingové prostředí a ověříte, že se web načítá správně, databáze je neporušená, nahrané soubory uživatelů jsou přítomny a všechny funkce fungují. Setkali jsme se s klienty, jejichž úlohy zálohování tiše selhávaly měsíce, protože došlo místo na disku nebo vypršely přihlašovací údaje. Zjistěte to při testu, ne během incidentu.

Webový aplikační firewall (WAF) stojí mezi vaším webem a internetem a filtruje příchozí provoz, aby zablokoval známé vzorce útoků dříve, než se dostanou do vaší aplikace. Zastavuje pokusy o SQL injection, payloady cross-site scripting, útoky directory traversal a desítky dalších technik zneužití, které automatizované skenery nepřetržitě zkoušejí. Bez WAF je váš aplikační kód jedinou linií obrany a jediné přehlédnuté vstupní pole může být vstupním bodem pro narušení.

Zkombinujte WAF s pravidelným skenováním malwaru. Serverové skenery jako ClamAV, Maldet nebo komerční řešení od Sucuri či Wordfence prohledávají váš souborový systém a hledají známé škodlivé signatury, podezřelé úpravy souborů a zadní vrátka, která útočníci umisťují pro trvalý přístup. Naplánujte skenování denně a nastavte upozornění na jakékoli zjištění. Doporučujeme také monitorování integrity souborů, které sleduje kontrolní součty kritických souborů, souborů jádra WordPress, konfiguračních souborů, serverových binárek, a okamžitě vás upozorní, pokud se některý soubor neočekávaně změní.

Na síťové úrovni nakonfigurujte firewall serveru tak, aby povoloval pouze porty a protokoly, které vaše aplikace skutečně potřebuje. Typický webový server by měl vystavovat port 443 (HTTPS), port 80 (HTTP, pouze pro přesměrování) a váš SSH port. Vše ostatní, databázové porty, administrační panely, vývojové nástroje, by mělo být blokováno z veřejného přístupu a dostupné pouze přes VPN nebo SSH tunel. Tento jednoduchý krok zabezpečení eliminuje celé kategorie útoků, které spoléhají na vystavené služby.

Princip nejmenších oprávnění je jedním z nejstarších pravidel v informační bezpečnosti, přesto je běžně porušován. Každý uživatel, servisní účet a API klíč by měl mít minimální oprávnění nezbytná k výkonu své funkce, nic více. Editor obsahu nepotřebuje možnost instalovat pluginy. Testovací prostředí nepotřebuje přihlašovací údaje k produkční databázi. Analytický skript třetí strany nepotřebuje přístup pro zápis do vašeho DOM.

Prověřte uživatelské role ve WordPressu, přístup do hostingu a SSH klíče serveru alespoň jednou za čtvrtletí. Odeberte nebo snižte oprávnění každému účtu, který má více práv, než potřebuje. Pro vývojové týmy používejte řízení přístupu na základě rolí s pojmenovanými účty, ale nikdy nesdílejte jedny administrátorské přihlašovací údaje mezi více lidmi. Sdílené účty znemožňují dohledat, kdo provedl změnu, což je kritické při vyšetřování incidentu a vyžaduje to většina rámců souladu včetně GDPR a PCI DSS.

API klíče a přihlašovací údaje ke službám si zaslouží stejnou pozornost. Rotujte je alespoň jednou ročně a okamžitě poté, co z organizace odejde člen týmu s přístupem. Ukládejte je v proměnných prostředí nebo ve správci tajemství, nikdy ve zdrojovém kódu nebo konfiguračních souborech uložených do verzovacího systému. Jediný uniklý API klíč ve veřejném repozitáři GitHub může být objeven a zneužit během několika minut, automatizovaní boti je nepřetržitě vyhledávají.

Bezpečnostní monitorování mění vaše obrany z pasivních bariér na aktivní detekční systém. Nakonfigurujte centralizované protokolování, které zachycuje pokusy o přihlášení, změny souborů, úpravy oprávnění, míru chyb a odchozí síťová připojení. Přivádějte tyto protokoly do monitorovací platformy, která uplatňuje korelační pravidla a detekci anomálií. Náhlý nárůst neúspěšných pokusů o přihlášení z jednoho rozsahu IP adres, neočekávaný nový PHP soubor ve vašem adresáři pro nahrávání nebo neobvyklé odchozí připojení k zahraničnímu serveru . to jsou rané varovné signály, které předcházejí narušení.

Stejně důležité je mít plán reakce na incidenty dříve, než ho budete potřebovat. Zdokumentujte kroky, které váš tým podnikne při zjištění narušení: kdo je informován, jak je postižený systém izolován, kde jsou uchovávány forenzní důkazy, jak jsou informováni zákazníci a kdy by měly být kontaktovány orgány činné v trestním řízení nebo regulátoři. Procvičujte tento plán alespoň dvakrát ročně. Podle našich zkušeností organizace s otestovaným plánem reakce na incidenty řeší narušení o 60 % rychleji a utrpí výrazně menší finanční a reputační škody než ty, které improvizují pod tlakem.

Pokud se vám správa toho všeho zdá zdrcující, mělo by to potvrdit, proč záleží na spolupráci s poskytovatelem, který má zabezpečení zabudované ve své infrastruktuře. V GRADAX zahrnuje každý hostingový plán automatické záplatování, denní skenování malwaru, ochranu WAF a nepřetržité monitorování jako standardní funkce. Zabezpečení není doplňkový prodej, je to základ. Pokud váš současný poskytovatel zachází se zabezpečením jako s volitelným, ozvěte se nám a ukážeme vám, jak vypadá proaktivní zabezpečení v praxi.