Zabezpečení webu se týká každého – od malého podnikatele po velkou firmu. Hackeři útočí automaticky na tisíce webů denně a hledají slabá místa. V tomto návodu vám vysvětlíme základy zabezpečení webu srozumitelně a bez technického žargonu.
Co je zabezpečení webu a proč to potřebujete
Zabezpečení webu je soubor opatření, která chrání váš web a data vašich návštěvníků před zneužitím. Tři základní pilíře jsou:
- SSL certifikát – šifruje komunikaci mezi webem a návštěvníkem. Poznáte ho podle zámečku v adresním řádku prohlížeče.
- HTTPS – protokol, který používá SSL šifrování. Adresa webu začíná „https://“ místo „http://“.
- Zálohy – pravidelné kopie webu a databáze, díky kterým můžete web obnovit v případě problémů.
Bez SSL certifikátu prohlížeče zobrazí varování „Nezabezpečeno“, čímž odradí návštěvníky. Google HTTPS zohledňuje i při řazení výsledků. A bez záloh riskujete, že při útoku nebo technické chybě přijdete o veškerý obsah.
Co budete potřebovat
- SSL certifikát – většina hostingů ho nabízí zdarma díky službě Let's Encrypt
- Přístup k hostingu – pro nastavení HTTPS a záloh
- Zálohovací řešení – buď automatické od hostingu, nebo ruční stahování
- SSL checker – online nástroj pro ověření, že certifikát funguje správně (např. ssllabs.com/ssltest)
Postup krok za krokem
1. Aktivujte SSL certifikát
Přihlaste se do administrace svého hostingu a vyhledejte sekci SSL nebo Zabezpečení. Většina českých hostingů (Wedos, Forpsi, Active24) nabízí bezplatný certifikát Let's Encrypt, který aktivujete jedním kliknutím. Certifikát se automaticky obnovuje každých 90 dní.
2. Přesměrujte HTTP na HTTPS
Po aktivaci SSL musíte zajistit, aby všechny adresy webu používaly HTTPS. Vývojář nastaví přesměrování, aby každý, kdo zadá adresu bez „https“, byl automaticky přesměrován na zabezpečenou verzi. Tím zajistíte, že žádný návštěvník neuvidí varování o nezabezpečeném spojení.
3. Ověřte správnost nastavení
Otevřete SSL Labs (ssllabs.com/ssltest), zadejte adresu svého webu a spusťte test. Výsledek by měl být hodnocení A nebo A+. Pokud je nižší, předejte výsledky vývojáři k opravě.
4. Nastavte pravidelné zálohy
Dohodněte se s vývojářem nebo hostingem na automatickém zálohování. Záloha by měla zahrnovat jak soubory webu, tak databázi. Ideální je denní záloha s uchováním alespoň posledních 30 dní. Zálohy by měly být uloženy na jiném serveru než web samotný.
5. Aktualizujte pravidelně
Pokud váš web používá jakýkoli systém (CMS, framework), udržujte ho aktualizovaný. Aktualizace často opravují bezpečnostní chyby. U vlastního CMS se o aktualizace stará vývojář v rámci údržby.
6. Zabezpečte přístup do administrace
Používejte silná hesla (alespoň 12 znaků, kombinace písmen, číslic a speciálních znaků). Zvažte dvoufaktorové ověření (2FA), kdy se kromě hesla musíte potvrdit kódem z telefonu. Omezte počet pokusů o přihlášení, aby se útočník nemohl zkoušet přihlásit milionkrát.
Nejčastější chyby začátečníků
- Odkládání SSL – „Nemám e-shop, nepotřebuji HTTPS“ je mylná představa. HTTPS potřebuje každý web bez výjimky.
- Slabá hesla – heslo „123456“ nebo „admin“ je jako nezamčené dveře. Používejte správce hesel, například Bitwarden (bezplatný).
- Zálohy jen na stejném serveru – pokud se server pokazí, přijdete o web i zálohy. Zálohy musí být i jinde.
- Ignorování aktualizací – zastaralý software je nejčastější vstupní brána pro hackery.
- Sdílení přístupových údajů – každý uživatel by měl mít vlastní účet. Když někdo odejde, stačí jeho účet zrušit.
Praktické tipy
- Nastavte si upomínku na kontrolu SSL certifikátu, i když se obnovuje automaticky – občas se obnovení nezdaří.
- Jednou za čas otestujte obnovu ze zálohy – ujistěte se, že zálohy skutečně fungují.
- Používejte bezpečnostní hlavičky (security headers) – vývojář je nastaví na serveru a chrání proti běžným typům útoků.
- Zvažte službu Cloudflare – kromě CDN nabízí i ochranu proti DDoS útokům a webový firewall zdarma.
- Mějte připravený krizový plán – vědět, komu zavolat a co dělat, když se stane bezpečnostní incident.
Shrnutí
Zabezpečení webu stojí na třech pilířích: SSL certifikátu pro šifrování komunikace, HTTPS protokolu a pravidelných zálohách. K tomu přidejte silná hesla, aktualizace a zdravý rozum. Bezpečnost není jednorázový úkol, ale průběžný proces. Začněte aktivací SSL certifikátu a nastavením automatických záloh – tyto dva kroky vás ochrání před většinou běžných problémů.