Opieka nad stroną internetową firmy. Aktualizacje, kopie zapasowe i ochrona przed atakami
Opieka nad stroną internetową to regularne aktualizacje, kopie zapasowe, monitoring dostępności i ochrona przed atakami. Strona nie psuje się sama z siebie, ale jej otoczenie zmienia się co tydzień. Wychodzą nowe wersje wtyczek, wygasają certyfikaty, a automaty skanują internet w poszukiwaniu znanych luk. Strona zostawiona sama sobie po roku ma zwykle kilka nieaktualnych elementów, z których każdy może być furtką.
Poniżej lista tego, co warto robić, jak często i po czym poznać, że strona potrzebuje stałej opieki.
Co może pójść nie tak ze stroną firmową?
Właściciel firmy zwykle dowiaduje się o problemie od klienta, który nie może wysłać formularza. Najczęstsze sytuacje są dość przyziemne.
- Strona przestaje działać. Awaria serwera, przepełniony dysk, błąd po aktualizacji.
- Wygasa certyfikat albo domena. Przeglądarka ostrzega przed wejściem, a klienci uciekają.
- Włamanie przez nieaktualną wtyczkę. Na stronie pojawiają się obce linki albo przekierowania.
- Formularz zaczyna wysyłać spam. Serwer pocztowy trafia na czarne listy, a maile firmy nie dochodzą do klientów.
- Wyciek plików konfiguracyjnych. Pliki z hasłami do bazy dostępne publicznie przez błąd w konfiguracji serwera.
Większość ataków to automaty, które sprawdzają tysiące stron naraz w poszukiwaniu tych samych słabych punktów, na przykład strony logowania WordPressa albo plików .env i katalogu .git. Nie trzeba być ważnym celem, żeby zostać zaatakowanym.
Co robić i jak często?
| Zadanie | Jak często | Dlaczego |
|---|---|---|
| Kopia zapasowa plików i bazy | codziennie przy formularzach i sklepie, co tydzień przy prostej stronie | żeby po awarii wrócić do wersji sprzed problemu |
| Aktualizacje systemu i wtyczek | co tydzień, poprawki bezpieczeństwa od razu | większość włamań wykorzystuje znane, załatane luki |
| Monitoring dostępności | stale, z powiadomieniem | żeby wiedzieć o awarii przed klientem |
| Sprawdzenie certyfikatu i domeny | co miesiąc, z przypomnieniem przed wygaśnięciem | wygasły certyfikat zamyka stronę dla większości odwiedzających |
| Test formularzy | co miesiąc i po każdej aktualizacji | żeby zapytania naprawdę docierały |
| Przegląd kont i uprawnień | co kwartał | żeby byli pracownicy i agencje nie mieli dostępu |
Gdzie trzymać kopie zapasowe?
Kopia trzymana na tym samym serwerze co strona znika razem z nim. Bezpieczna kopia leży w innym miejscu niż strona, jest robiona automatycznie i co jakiś czas sprawdzana przez próbne odtworzenie. Dobra praktyka to kilka kopii z różnych dni, bo włamanie bywa wykryte dopiero po tygodniu, a wczorajsza kopia też jest już zainfekowana.
Aktualizacje bez strachu
Właściciele stron boją się aktualizacji, bo kiedyś po jednej coś przestało działać. Rozwiązaniem nie jest rezygnacja z aktualizacji, tylko kopia przed każdą zmianą, aktualizacja w spokojnej porze i szybki test najważniejszych funkcji, czyli formularza, koszyka i logowania.
Miesięczna lista kontrolna dla właściciela strony
Jeśli opiekujesz się stroną samodzielnie, raz w miesiącu przejdź tę listę.
- Wyślij zapytanie przez formularz i sprawdź, czy dotarło.
- Sprawdź datę wygaśnięcia certyfikatu i domeny.
- Zobacz, czy są oczekujące aktualizacje systemu i wtyczek.
- Sprawdź datę ostatniej kopii zapasowej.
- Wejdź na stronę z telefonu i z innej przeglądarki.
- Przejrzyj listę kont z dostępem do panelu.
Kiedy oddać stronę pod stałą opiekę?
Stała opieka ma sens, gdy strona zbiera zapytania, zamówienia albo dane klientów, gdy jej przestój kosztuje sprzedaż albo gdy nikt w firmie nie ma czasu na comiesięczną listę kontrolną. Dlatego zbudowaliśmy Spoko Sites, czyli monitoring dostępności przez całą dobę, ocenę bezpieczeństwa od A do F, kopie i aktualizacje, blokady ataków z mapą i ostrzeżenia CERT Polska. Właściciel widzi stan strony na jednym ekranie, bez logowania do serwera, a raz w miesiącu dostaje podsumowanie.
Pod opiekę bierzemy także strony zrobione przez inne firmy. Zaczynamy od audytu, żeby wiedzieć, co przejmujemy, i instalujemy lekkiego agenta na serwerze, bez przebudowy strony. Zakres opieki opisujemy w usługach, a jeśli chcesz sprawdzić swoją stronę, napisz do nas.
Najczęstsze pytania
Jak często aktualizować stronę na WordPressie?
Poprawki bezpieczeństwa najlepiej instalować od razu po wydaniu, a pozostałe aktualizacje systemu i wtyczek raz w tygodniu. Przed każdą aktualizacją warto zrobić kopię zapasową, a po niej sprawdzić formularz, logowanie i najważniejsze podstrony.
Jak często robić kopię zapasową strony?
Przy stronie z formularzami, zamówieniami albo danymi klientów codziennie, przy prostej stronie wizytówce co najmniej raz w tygodniu. Kopie powinny leżeć poza serwerem strony i obejmować kilka dni wstecz, bo włamanie bywa wykryte z opóźnieniem.
Skąd wiadomo, że strona została zaatakowana?
Typowe objawy to obce linki albo przekierowania na stronie, nowe konta w panelu, ostrzeżenia w przeglądarce, nagły spadek ruchu z Google i maile firmy trafiające do spamu. Monitoring z ochroną blokuje większość prób, zanim dotrą do strony, i powiadamia o tych, które wymagają reakcji.
Czy można oddać pod opiekę stronę zrobioną przez inną firmę?
Tak. Opiekę zaczyna się od audytu, który pokazuje stan oprogramowania, konfigurację serwera i znane luki. Dopiero po nim wiadomo, co trzeba poprawić od razu, a co wystarczy objąć stałym monitoringiem.
Co-founder, art director. Projektuje systemy identyfikacji wizualnej dla wymagających klientów, z myślą o tym, kto będzie z nich korzystał.