# Smlouva o bezpečnostní údržbě webů a serverů

> Smlouva o údržbě webu s bezpečností: aktualizace, testované zálohy, monitoring a jasné odpovědnosti pro weby i servery. Vyžádejte si péči.

Zdroj: https://phpsos.de/cs/leistungen/security-wartungsvertrag/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Smlouva o údržbě webu s důrazem na bezpečnost zajistí, že aktualizace, zálohy a sledování nezávisejí na náhodě. O vaše weby a servery s PHP pečujeme trvale, udržujeme aktuální stav, testujeme obnovu a postupujeme podle dohodnutého postupu, když vyjde najevo nová zranitelnost. Pravidelně obdržíte srozumitelnou zprávu.

## Proč bezpečnost patří do smlouvy o údržbě webu

Mnoho smluv o údržbě pokrývá aktualizace CMS a tam končí. PHP2Shell ukázal, že to nestačí: zranitelnosti CVE-2026-109618 a CVE-2026-109619 jsou přímo v PHP, ne v CMS. Aktualizace WordPressu nebo Shopwaru je neuzavře. Kdo pečuje jen o CMS, nemá skutečné nebezpečí na očích.

K tomu přistupuje faktor času. Mezi předběžným oznámením z php.net dne 20. 10. 2026 a vydáním záplat 21. 10. uplynul den, podle zpráv médií byl již 17. 10. pozorován první pokus o útok. V takových situacích pomáhá jen postup, který je stanoven předem, a někdo, kdo má přístup a ví, které systémy jsou postižené. Kdo teprve v krizové situaci hledá přístupové údaje, volá dodavatele a ujasňuje odpovědnosti, ztrácí právě ten čas, který využívají útočníci.

Další bod se často podceňuje: zálohy, které nikdy nebyly obnoveny, jsou slib bez dokladu. Teprve test obnovy ukáže, zda je záloha úplná a jak dlouho trvá skutečný návrat do provozu.

## Pro koho se smlouva o bezpečnostní údržbě vyplatí

Smlouva o údržbě s důrazem na bezpečnost se hodí především firmám, jejichž web nebo e-shop je pro podnikání kritický, ale které nemají vlastní správu serverů a PHP. Typické jsou internetoví obchodníci, ordinace, advokátní kanceláře a střední firmy se zákaznickými portály, ale také veřejné instituce s více webovými prezentacemi.

Stejně smysluplná je, pokud je odpovědnost dnes rozložena na mnoho ramen: agentura web vytvořila, poskytovatel hostingu poskytuje server, bývalý zaměstnanec znal přístupy. V takových konstelacích se při situacích typu PHP2Shell rychle ukáže, že nikdo není jednoznačně odpovědný. Smlouva zřizuje pevné místo, které ví, o co jde, a smí jednat.

Pro jeden malý web bez formulářů nebo dat zákazníků může stačit menší rozsah. To ujasníme při inventuře.

## Co smlouva o bezpečnostní údržbě obsahuje

- **Aktualizace:** operační systém, webový server, PHP, CMS, rozšíření a závislosti, v pevném rytmu a navíc při kritických zranitelnostech
- **Restart a doklad:** po aktualizacích PHP restart všech workerů s kontrolou, že neběží žádné staré procesy
- **Zálohy:** podle pravidla 3-2-1, s pravidelným testem obnovy. Základy najdete na stránce [Zálohy podle pravidla 3-2-1](https://phpsos.de/cs/ratgeber/backups-3-2-1/).
- **Sledování:** integrita souborů, přihlášení, procesy a logy, jak je popsáno na stránce [Bezpečnostní monitoring webových serverů](https://phpsos.de/cs/leistungen/security-monitoring/)
- **Životní cyklus:** včasné plánování, než verze PHP dosáhne konce podpory, například PHP 8.2 dne 31. 12. 2026
- **Nouzový postup:** sladěné kroky pro krizovou situaci, přístupy a kontaktní osoby, které jsou při incidentu hned známy
- **Zpráva:** pravidelné shrnutí s nasazenými aktualizacemi, událostmi a doporučeními

## Kdo za co odpovídá?

Mnoho bezpečnostních děr nevzniká technicky, ale organizačně: každý si myslí, že se o to stará někdo jiný. Proto odpovědnosti zachycujeme písemně. Typický příklad:

| Úkol | Hosting | Agentura | PHP SOS | Vy |
|---|---|---|---|---|
| Hardware, síť, datové centrum | ano | | | |
| Operační systém a aktualizace PHP | podle smlouvy | | ano | |
| CMS a rozšíření | | ano | po dohodě | |
| Obsah a uživatelské účty | | | | ano |
| Sledování a nouzový postup | | | ano | schválení |

Skutečné rozdělení závisí na vašich smlouvách. Zejména u spravovaných serverů se vyplatí podívat se přesně, co poskytovatel skutečně přebírá, viz [Spravovaný server: ujasnění odpovědnosti](https://phpsos.de/cs/server/managed-server/). Agentury s mnoha weby zákazníků najdou vhodný model na stránce [Bezpečnostní partner pro agentury](https://phpsos.de/cs/branchen/agenturen-white-label/).

## Jak konkrétně pomáhá PHP SOS?

1. **Inventura:** Zjistíme všechny weby, servery, verze, přístupy, zálohy a existující smlouvy.
2. **První zabezpečení:** Otevřené aktualizace a známé slabiny se uzavřou jako první, než začne průběžná péče.
3. **Dohoda:** Rozsah, rytmus, odpovědnosti a nouzový postup zachytíme písemně, včetně otázky, kdy se vás před změnami zeptáme.
4. **Průběžná péče:** Aktualizace, zálohy, sledování a zprávy podle plánu, při kritických zranitelnostech navíc podle dohodnutého nouzového postupu.
5. **Roční přezkum:** Společně ověříme, zda smlouva stále odpovídá vašemu systémovému prostředí.

## Co potřebujeme a co neslibujeme

Potřebujeme trvalé administrátorské přístupy, kontaktní osobu s pravomocí rozhodovat, kontakt na poskytovatele hostingu a agenturu a informace o plánovaných změnách vašich aplikací. Přístupy spravujeme odděleně pro každého zákazníka a dokumentujeme, kdo má přístup. Pokud plánujete změny svých systémů, například nový e-shop, další web nebo změnu poskytovatele hostingu, dejte nám včas vědět, aby aktualizace, zálohy a sledování rostly spolu s nimi.

Neslibujeme, že vaše systémy nebudou nikdy napadeny. Smlouva o údržbě snižuje riziko a zajišťuje, že se v krizové situaci jedná rychle a uspořádaně. Ceny a doby reakce neuvádíme paušálně, ale stanovíme je po inventuře v nabídce. Jak se na krizovou situaci připravit navíc organizačně, popisuje stránka [Sestavení IT nouzového plánu pro webové servery](https://phpsos.de/cs/compliance/notfallplan-erstellen/).


## Časté dotazy

**Co patří do smlouvy o údržbě webu s důrazem na bezpečnost?**  
Minimálně aktualizace serveru, PHP, CMS a rozšíření, pravidelné zálohy s testem obnovy, bezpečnostní sledování a jasná úprava pro nouzové situace. Důležité je také písemně zachytit, kdo za co odpovídá.

**Nahradí smlouva o údržbě mou agenturu nebo poskytovatele hostingu?**  
Ne nutně. Často spolupracujeme s agenturou a poskytovatelem hostingu a přebíráme bezpečnostní část. Rozhodující je, aby byly odpovědnosti rozděleny bez mezer a nic nezůstalo ležet mezi zúčastněnými.

**Co se stane, když vyjde najevo kritická zranitelnost jako PHP2Shell?**  
Pak zkontrolujeme, které z vašich systémů jsou postižené, nasadíme aktualizace podle dohodnutého postupu nebo přechodná opatření a informujeme vás o stavu. Jak rychle se to stane, stanovíme ve smlouvě společně.

**Existuje pevná cena?**  
Rozsah závisí na počtu a druhu vašich systémů. Po inventuře vypracujeme nabídku, která přesně popisuje, co je v ní zahrnuto.

## Zdroje

- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: podporované verze](https://www.php.net/supported-versions.php)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)