Ochrona strony internetowej to nie jednorazowa czynność, ale zestaw nawyków i ustawień, które utrudniają atak i pozwalają szybko wrócić do działania, gdy coś pójdzie nie tak. Większość włamań na strony firmowe i blogi nie jest wymierzona w konkretną firmę – to automatyczne skanowanie internetu w poszukiwaniu znanych luk. Dlatego podstawowe zabezpieczenia chronią przed zdecydowaną większością zagrożeń.
Najczęstsze zagrożenia
- **luki w nieaktualnym oprogramowaniu** – CMS, wtyczki, motywy, biblioteki; najczęstsza droga ataku,
- **słabe lub wykradzione hasła** – ataki słownikowe na panel logowania, hasła używane w wielu serwisach,
- **wstrzykiwanie kodu** (np. SQL injection, XSS) – przez formularze i parametry w adresach,
- **złośliwe wtyczki i motywy** – zwłaszcza pirackie wersje płatnych dodatków,
- **ataki DDoS** – przeciążenie serwera dużą liczbą żądań,
- **phishing i przejęcie kont** – np. dostępów do hostingu lub domeny.
Listę najpoważniejszych zagrożeń dla aplikacji internetowych regularnie publikuje organizacja OWASP (OWASP Top 10) – to dobry punkt odniesienia dla programistów.
Szyfrowanie i certyfikat SSL
Strona powinna działać wyłącznie przez HTTPS – certyfikat SSL szyfruje dane przesyłane między przeglądarką a serwerem, np. hasła i dane z formularzy. Większość hostingów oferuje darmowe certyfikaty Let’s Encrypt. Po włączeniu HTTPS ustaw przekierowanie z wersji http i rozważ nagłówek HSTS, który wymusza bezpieczne połączenie.
Aktualizacje i ograniczenie dodatków
- aktualizuj CMS, wtyczki i motywy na bieżąco – poprawki bezpieczeństwa najlepiej instalować w ciągu kilku dni,
- usuwaj nieużywane wtyczki i motywy, także wyłączone,
- instaluj dodatki tylko z oficjalnych źródeł i od aktywnie rozwijających je autorów,
- korzystaj z aktualnej wersji PHP.
Zasady bezpieczeństwa w zarządzaniu stroną
- **silne, unikalne hasła** i menedżer haseł,
- **logowanie dwuskładnikowe** do panelu strony, hostingu, domeny i poczty,
- **zasada najmniejszych uprawnień** – autor treści nie potrzebuje konta administratora,
- **usuwanie kont** byłych pracowników i wykonawców,
- **ograniczenie prób logowania** i ewentualnie zmiana adresu panelu,
- **wyłączenie edycji plików** z panelu CMS.
Zapora i ochrona serwera
Zapora aplikacji internetowej (WAF) filtruje podejrzane żądania, zanim trafią do strony. Może działać na poziomie hostingu, usługi zewnętrznej (np. Cloudflare) lub wtyczki (np. Wordfence w WordPressie). Dobry hosting izoluje konta klientów i skanuje pliki pod kątem złośliwego kodu. Więcej o roli serwera w tekście o tym, czy hosting ma wpływ na pozycjonowanie.
Zabezpieczenia dobrze skonfigurowane nie spowalniają strony – a usunięcie zbędnych dodatków często pozwala dodatkowo poprawić skuteczność i szybkość działania witryny.
Kopie zapasowe
Kopia zapasowa to ostatnia linia obrony. Twórz ją automatycznie, przechowuj poza serwerem strony, trzymaj kilka wersji z różnych dni i co jakiś czas sprawdź, czy da się ją przywrócić. Kopia, której nie da się odtworzyć, nie jest kopią.
Monitoring i reagowanie na incydenty
- powiadomienia o nowych administratorach i zmianach plików,
- monitoring dostępności strony,
- Google Search Console – raport „Problemy dotyczące bezpieczeństwa”,
- przegląd logów serwera przy podejrzanym ruchu.
Gdy dojdzie do włamania: odetnij dostęp, zmień wszystkie hasła, usuń złośliwy kod lub przywróć czystą kopię, usuń lukę i poproś Google o weryfikację. Szczegóły w tekście o tym, jak usunąć wirusa ze strony internetowej. Jeśli wyciekły dane osobowe, RODO wymaga zgłoszenia naruszenia do Prezesa UODO w ciągu 72 godzin od jego wykrycia.
Edukacja użytkowników
Najsłabszym ogniwem bywa człowiek: kliknięcie w link z fałszywej wiadomości „od hostingu”, hasło zapisane na kartce, wspólne konto dla kilku osób. Krótkie zasady dla wszystkich, którzy mają dostęp do strony – jak rozpoznać phishing, gdzie trzymać hasła, kogo powiadomić o podejrzanej sytuacji – kosztują niewiele, a zapobiegają wielu incydentom.
Lista kontrolna
- HTTPS na całej stronie.
- Aktualne oprogramowanie, bez zbędnych wtyczek.
- Silne hasła i logowanie dwuskładnikowe.
- Zapora WAF i ograniczenie prób logowania.
- Automatyczne kopie zapasowe poza serwerem.
- Monitoring i plan działania na wypadek włamania.
