Bezpieczeństwo strony internetowej: HTTPS, aktualizacje i kopie zapasowe

Wiele firm zakłada, że ich strona jest „za mała”, by ktoś chciał się na nią włamać. Tymczasem większość ataków jest zautomatyzowana: boty skanują internet w poszukiwaniu znanych luk w popularnym oprogramowaniu, niezależnie od wielkości firmy. Przejęta strona może rozsyłać spam, przekierowywać na podejrzane serwisy albo zostać oznaczona przez Google jako niebezpieczna. Na szczęście większości problemów można zapobiec prostymi nawykami.

1. HTTPS i certyfikat SSL

HTTPS szyfruje połączenie między przeglądarką a serwerem, chroniąc dane wpisywane w formularzach. Przeglądarki oznaczają strony bez HTTPS jako niezabezpieczone, a Google traktuje HTTPS jako jeden z sygnałów jakości strony.

• Bezpłatne certyfikaty (np. Let's Encrypt) są dziś standardem w dobrych hostingach – ważne, by odnawiały się automatycznie.
• Przekieruj wszystkie adresy HTTP na HTTPS (301) i zaktualizuj linki wewnętrzne.
• Usuń „mieszaną zawartość” – obrazy czy skrypty ładowane przez HTTP.
• Rozważ nagłówek HSTS, który wymusza połączenia szyfrowane.

2. Aktualizacje

Nieaktualny system CMS, wtyczki i szablony to najczęstsza furtka dla atakujących. Gdy luka zostaje opublikowana, boty zaczynają ją wykorzystywać w ciągu dni.

• Aktualizuj CMS, wtyczki i szablony regularnie – poprawki bezpieczeństwa możliwie szybko.
• Usuń nieużywane wtyczki i motywy – każdy dodatkowy kod to potencjalna luka.
• Pilnuj wersji PHP na serwerze – starsze wersje przestają otrzymywać poprawki.
• Większe aktualizacje testuj najpierw w środowisku testowym.

3. Dostępy i hasła

• Unikalne, długie hasła i menedżer haseł dla zespołu.
• Uwierzytelnianie dwuskładnikowe (2FA) w panelu CMS, hostingu, rejestratorze domeny i poczcie.
• Zasada najmniejszych uprawnień – redaktor nie potrzebuje konta administratora.
• Usuwaj konta byłych pracowników i współpracowników.
• Ogranicz liczbę prób logowania i zmień domyślne adresy paneli tam, gdzie to możliwe.

4. Kopie zapasowe – zasada 3-2-1

Kopia zapasowa jest jak ubezpieczenie – docenisz ją dopiero wtedy, gdy będzie potrzebna. Sprawdzona zasada 3-2-1:

• 3 kopie danych,
• na 2 różnych nośnikach lub w dwóch usługach,
• 1 kopia poza głównym serwerem (inna lokalizacja).

Kopie powinny obejmować pliki i bazę danych, być wykonywane automatycznie (np. codziennie) i przechowywane przez kilka tygodni. Najważniejsze: regularnie testuj przywracanie. Kopia, której nie da się odtworzyć, nie jest kopią.

5. Ochrona i monitoring

• Zapora aplikacyjna (WAF) na poziomie hostingu lub usługi CDN.
• Monitoring dostępności – powiadomienie, gdy strona przestaje działać.
• Skanowanie plików w poszukiwaniu złośliwego kodu.
• Raport Problemy z bezpieczeństwem w Google Search Console (zobacz GSC i GA4).
• Nagłówki bezpieczeństwa: m.in. X-Content-Type-Options, Referrer-Policy, Content-Security-Policy.

6. Formularze i dane osobowe

Formularze kontaktowe są celem spamerów i ataków. Stosuj ochronę CSRF, pola-pułapki (honeypot) i ograniczenie liczby wysyłek. Zbieraj tylko potrzebne dane i opisz ich przetwarzanie w polityce prywatności – to wymóg RODO.

Co zrobić po włamaniu

1. Zmień wszystkie hasła i zablokuj nieznane konta.
2. Przywróć czystą kopię zapasową sprzed infekcji – albo zleć oczyszczenie strony specjalistom.
3. Zaktualizuj wszystko, co było nieaktualne, i znajdź lukę, którą wykorzystano.
4. Sprawdź Search Console; po usunięciu problemu poproś o weryfikację, jeśli Google oznaczył stronę.
5. Jeśli wyciekły dane osobowe – oceń obowiązek zgłoszenia naruszenia do UODO (72 godziny) i poinformowania osób.

Bezpieczeństwo to proces, a nie jednorazowe działanie. W ramach opieki informatycznej dbamy o aktualizacje, kopie zapasowe i monitoring. Zobacz też, jak wybrać bezpieczny hosting.