Zabezpečení webu: zálohy, hesla, dvoufázové ověření a aktualizace
Zabezpečení firemního webu stojí na čtyřech věcech: zálohách uložených mimo server, unikátních heslech, dvoufázovém ověření a pravidelných aktualizacích. Nic z toho není drahé ani složité, jen se to musí dělat soustavně. Tady je, co nastavit a co dělat, když už se něco stalo.
Aktualizováno
Proti čemu se vlastně chráníte
Hacker v kapuci, který si vybral právě vaši firmu, je ten nejméně pravděpodobný scénář. Skutečná rizika malého webu jsou obyčejnější:
- Automatické útoky – roboti zkoušejí uniklá hesla a známé chyby v neaktualizovaných systémech a doplňcích.
- Ztracené přístupy – heslo zná jen bývalý zaměstnanec nebo webař, se kterým už nespolupracujete.
- Lidská chyba – omylem smazaná stránka, přepsaný soubor, nepovedená aktualizace.
- Výpadek u poskytovatele – zrušený účet, nezaplacená faktura, porucha serveru.
Proti všem čtyřem pomáhá to samé: zálohy a pořádek v přístupech.
Záloha webu: kolik kopií a kde
Záloha, kterou nikdo nezkusil obnovit, je jen naděje. Osvědčené pravidlo zní 3-2-1: tři kopie dat, na dvou různých typech úložiště, z toho jedna mimo místo, kde web běží.
| Co zálohovat | Proč | Jak často |
|---|---|---|
| Databáze | Texty, objednávky, uživatelé – u webů s redakčním systémem to nejcennější. | Denně, u e-shopu i častěji. |
| Soubory webu | Šablona, nahrané fotky a dokumenty. | Po každé změně, jinak týdně. |
| Zdrojový kód | U webu bez redakčního systému je to celý web. | Průběžně ve verzovacím systému. |
| Nastavení domény a DNS | Bez nich nefunguje web ani e-mail. | Při každé změně si záznamy opište. |
Jednou za čas si nechte zálohu zkušebně obnovit. Zjistíte, jestli je kompletní a jak dlouho by obnova trvala, když na tom bude záležet.
Hesla a přístupy
- Používejte správce hesel. Každá služba má mít vlastní dlouhé heslo, které si nemusíte pamatovat.
- Každý člověk má vlastní účet. Sdílený login „admin“ nejde po odchodu jednoho člověka zrušit, aniž byste zablokovali ostatní.
- Sepište, kdo má přístup kam: registrátor domény, správa DNS, hosting, administrace webu, e-mail, analytika. Po odchodu zaměstnance nebo dodavatele přístupy hned odeberte.
- Hlavní účty, hlavně doména, mají patřit firmě. Proč na tom tolik záleží, rozebírá článek Komu patří web.
Dvoufázové ověření: zapněte ho všude, kde jde
Dvoufázové ověření (2FA) znamená, že k přihlášení nestačí heslo – je potřeba ještě kód z telefonu nebo bezpečnostní klíč. Uniklé heslo pak útočníkovi samo nestačí. Zapněte ho v tomto pořadí:
- e-mail, přes který obnovujete hesla ke všemu ostatnímu,
- účet u registrátora domény a správa DNS,
- hosting a administrace webu nebo e-shopu,
- Google účet s profilem firmy, analytikou a reklamou.
Aplikace pro ověřovací kódy je bezpečnější než SMS. Záložní kódy si uložte do správce hesel – ne do telefonu, který můžete ztratit.
Aktualizace a HTTPS
Weby na redakčních systémech jako WordPress se nejčastěji napadají přes zastaralé doplňky a šablony. Aktualizujte systém i doplňky pravidelně a ty, které nepoužíváte, smažte – i vypnutý doplněk může být zranitelný. Rozdíly mezi typy systémů a co znamenají pro správu vysvětluje heslo CMS (redakční systém).
Šifrované spojení je dnes samozřejmost. Pokud prohlížeč u vašeho webu hlásí nezabezpečené připojení, podívejte se do hesla SSL certifikát, co bývá příčinou.
Co dělat, když web někdo napadne
- Nepanikařte a nic nemažte. Stopy pomohou zjistit, kudy se útočník dostal dovnitř.
- Změňte hesla k hostingu, administraci a e-mailu, z jiného zařízení, než kterým jste se přihlašovali.
- Obnovte web ze zálohy z doby před napadením a hned ho aktualizujte, jinak se útok zopakuje stejnou cestou.
- Zkontrolujte Search Console, jestli Google web neoznačil jako nebezpečný, a po vyčištění požádejte o kontrolu.
- Pokud unikla osobní data zákazníků, podle GDPR je obvykle musíte do 72 hodin ohlásit Úřadu pro ochranu osobních údajů. Postup konzultujte s právníkem.
Provoz webu u nás
Weby, o jejichž provoz se staráme, běží každý ve svém kontejneru, oddělený od ostatních, a certifikát HTTPS se jim obnovuje automaticky. Hosting a provoz jsou součástí tarifu Light za 1 000 Kč měsíčně, bez závazku. Co všechno spadá do péče o web a jak se srovnává s jinými variantami, shrnuje článek kolik stojí správa webu.
Časté otázky
Proč by někdo útočil zrovna na malý firemní web?
Většinou nejde o vás osobně. Automatické programy procházejí internet a zkoušejí známé chyby a slabá hesla na všem, co najdou. Napadený malý web pak slouží k rozesílání spamu nebo k přesměrování návštěvníků na podvodné stránky.
Stačí zálohy, které dělá hosting?
Jako první vrstva ano, jako jediná ne. Zálohy uložené u stejného poskytovatele zmizí, když přijdete o účet nebo když selže jeho infrastruktura. Mějte aspoň jednu kopii jinde a vědět, jak ji obnovit.
Jak často měnit hesla?
Pravidelná výměna dobrého hesla dnes už není hlavní doporučení. Důležitější je, aby každé heslo bylo dlouhé a unikátní a aby byl zapnutý druhý faktor. Heslo změňte okamžitě, když odejde člověk, který ho znal, nebo když služba ohlásí únik dat.
Je web bez redakčního systému bezpečnější?
Obvykle ano, protože útočník nemá žádnou administraci, do které by se mohl přihlásit, ani doplňky, které by zneužil. Za to platíte tím, že obsah neměníte sami v administraci, ale přes dodavatele. Pro web, který se mění párkrát do měsíce, to bývá dobrý obchod.
Co když přijdu o přístup k doméně?
Obraťte se na registrátora a doložte, že jste držitelem domény – proto je důležité, aby byla registrovaná na vás nebo vaši firmu. Pokud je doména psaná na bývalého dodavatele, bude cesta zpátky mnohem složitější.