Stručně: Smlouva o údržbě webu s důrazem na bezpečnost zajistí, že aktualizace, zálohy a sledování nezávisejí na náhodě. O vaše weby a servery s PHP pečujeme trvale, udržujeme aktuální stav, testujeme obnovu a postupujeme podle dohodnutého postupu, když vyjde najevo nová zranitelnost. Pravidelně obdržíte srozumitelnou zprávu.
Proč bezpečnost patří do smlouvy o údržbě webu
Mnoho smluv o údržbě pokrývá aktualizace CMS a tam končí. PHP2Shell ukázal, že to nestačí: zranitelnosti CVE-2026-109618 a CVE-2026-109619 jsou přímo v PHP, ne v CMS. Aktualizace WordPressu nebo Shopwaru je neuzavře. Kdo pečuje jen o CMS, nemá skutečné nebezpečí na očích.
K tomu přistupuje faktor času. Mezi předběžným oznámením z php.net dne 20. 10. 2026 a vydáním záplat 21. 10. uplynul den, podle zpráv médií byl již 17. 10. pozorován první pokus o útok. V takových situacích pomáhá jen postup, který je stanoven předem, a někdo, kdo má přístup a ví, které systémy jsou postižené. Kdo teprve v krizové situaci hledá přístupové údaje, volá dodavatele a ujasňuje odpovědnosti, ztrácí právě ten čas, který využívají útočníci.
Další bod se často podceňuje: zálohy, které nikdy nebyly obnoveny, jsou slib bez dokladu. Teprve test obnovy ukáže, zda je záloha úplná a jak dlouho trvá skutečný návrat do provozu.
Pro koho se smlouva o bezpečnostní údržbě vyplatí
Smlouva o údržbě s důrazem na bezpečnost se hodí především firmám, jejichž web nebo e-shop je pro podnikání kritický, ale které nemají vlastní správu serverů a PHP. Typické jsou internetoví obchodníci, ordinace, advokátní kanceláře a střední firmy se zákaznickými portály, ale také veřejné instituce s více webovými prezentacemi.
Stejně smysluplná je, pokud je odpovědnost dnes rozložena na mnoho ramen: agentura web vytvořila, poskytovatel hostingu poskytuje server, bývalý zaměstnanec znal přístupy. V takových konstelacích se při situacích typu PHP2Shell rychle ukáže, že nikdo není jednoznačně odpovědný. Smlouva zřizuje pevné místo, které ví, o co jde, a smí jednat.
Pro jeden malý web bez formulářů nebo dat zákazníků může stačit menší rozsah. To ujasníme při inventuře.
Co smlouva o bezpečnostní údržbě obsahuje
- Aktualizace: operační systém, webový server, PHP, CMS, rozšíření a závislosti, v pevném rytmu a navíc při kritických zranitelnostech
- Restart a doklad: po aktualizacích PHP restart všech workerů s kontrolou, že neběží žádné staré procesy
- Zálohy: podle pravidla 3-2-1, s pravidelným testem obnovy. Základy najdete na stránce Zálohy podle pravidla 3-2-1.
- Sledování: integrita souborů, přihlášení, procesy a logy, jak je popsáno na stránce Bezpečnostní monitoring webových serverů
- Životní cyklus: včasné plánování, než verze PHP dosáhne konce podpory, například PHP 8.2 dne 31. 12. 2026
- Nouzový postup: sladěné kroky pro krizovou situaci, přístupy a kontaktní osoby, které jsou při incidentu hned známy
- Zpráva: pravidelné shrnutí s nasazenými aktualizacemi, událostmi a doporučeními
Kdo za co odpovídá?
Mnoho bezpečnostních děr nevzniká technicky, ale organizačně: každý si myslí, že se o to stará někdo jiný. Proto odpovědnosti zachycujeme písemně. Typický příklad:
| Úkol | Hosting | Agentura | PHP SOS | Vy |
|---|---|---|---|---|
| Hardware, síť, datové centrum | ano | |||
| Operační systém a aktualizace PHP | podle smlouvy | ano | ||
| CMS a rozšíření | ano | po dohodě | ||
| Obsah a uživatelské účty | ano | |||
| Sledování a nouzový postup | ano | schválení |
Skutečné rozdělení závisí na vašich smlouvách. Zejména u spravovaných serverů se vyplatí podívat se přesně, co poskytovatel skutečně přebírá, viz Spravovaný server: ujasnění odpovědnosti. Agentury s mnoha weby zákazníků najdou vhodný model na stránce Bezpečnostní partner pro agentury.
Jak konkrétně pomáhá PHP SOS?
- Inventura: Zjistíme všechny weby, servery, verze, přístupy, zálohy a existující smlouvy.
- První zabezpečení: Otevřené aktualizace a známé slabiny se uzavřou jako první, než začne průběžná péče.
- Dohoda: Rozsah, rytmus, odpovědnosti a nouzový postup zachytíme písemně, včetně otázky, kdy se vás před změnami zeptáme.
- Průběžná péče: Aktualizace, zálohy, sledování a zprávy podle plánu, při kritických zranitelnostech navíc podle dohodnutého nouzového postupu.
- Roční přezkum: Společně ověříme, zda smlouva stále odpovídá vašemu systémovému prostředí.
Co potřebujeme a co neslibujeme
Potřebujeme trvalé administrátorské přístupy, kontaktní osobu s pravomocí rozhodovat, kontakt na poskytovatele hostingu a agenturu a informace o plánovaných změnách vašich aplikací. Přístupy spravujeme odděleně pro každého zákazníka a dokumentujeme, kdo má přístup. Pokud plánujete změny svých systémů, například nový e-shop, další web nebo změnu poskytovatele hostingu, dejte nám včas vědět, aby aktualizace, zálohy a sledování rostly spolu s nimi.
Neslibujeme, že vaše systémy nebudou nikdy napadeny. Smlouva o údržbě snižuje riziko a zajišťuje, že se v krizové situaci jedná rychle a uspořádaně. Ceny a doby reakce neuvádíme paušálně, ale stanovíme je po inventuře v nabídce. Jak se na krizovou situaci připravit navíc organizačně, popisuje stránka Sestavení IT nouzového plánu pro webové servery.
Časté dotazy
Co patří do smlouvy o údržbě webu s důrazem na bezpečnost?
Minimálně aktualizace serveru, PHP, CMS a rozšíření, pravidelné zálohy s testem obnovy, bezpečnostní sledování a jasná úprava pro nouzové situace. Důležité je také písemně zachytit, kdo za co odpovídá.
Nahradí smlouva o údržbě mou agenturu nebo poskytovatele hostingu?
Ne nutně. Často spolupracujeme s agenturou a poskytovatelem hostingu a přebíráme bezpečnostní část. Rozhodující je, aby byly odpovědnosti rozděleny bez mezer a nic nezůstalo ležet mezi zúčastněnými.
Co se stane, když vyjde najevo kritická zranitelnost jako PHP2Shell?
Pak zkontrolujeme, které z vašich systémů jsou postižené, nasadíme aktualizace podle dohodnutého postupu nebo přechodná opatření a informujeme vás o stavu. Jak rychle se to stane, stanovíme ve smlouvě společně.
Existuje pevná cena?
Rozsah závisí na počtu a druhu vašich systémů. Po inventuře vypracujeme nabídku, která přesně popisuje, co je v ní zahrnuto.