# Poradna: bezpečnost PHP a serverů > Poradna k bezpečnosti PHP: webshelly, zadní vrátka, php.ini, SQL injection, XSS, nahrávání souborů, logy, zálohy a bezpečnostní hlavičky. Zdroj: https://phpsos.de/cs/ratgeber/ Stav: 25.10.2026 Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 Odborné články pro administrátory a vývojáře: rozpoznání webshellů, hardening php.ini, vyhodnocení logů, bezpečné programování. - [Časová osa PHP2Shell: chronologie od 17. do 25. října 2026](https://phpsos.de/cs/ratgeber/php2shell-chronologie/): Všechna doložená data k PHP2Shell přehledně, od prvního pozorovaného pokusu o útok po stav k 25. 10. 2026, a co z nich plyne pro vaši kontrolu. - [Potvrzení aktualizace PHP od hostingu: jak se zeptat na stav záplaty](https://phpsos.de/cs/ratgeber/hoster-patch-status-erfragen/): Zobrazená verze PHP po PHP2Shell mnoho nedokazuje. Pomocí tohoto vzoru si od poskytovatele hostingu vyžádáte potvrzení, které můžete zdokumentovat. - [Jak poznat a odstranit webshell](https://phpsos.de/cs/ratgeber/webshell-erkennen/): Jak vyhledat zadní vrátka na webových serverech s PHP, aniž byste zničili stopy, a proč samotné smazání zřídka stačí. - [Jak najít zadní vrátka ve WordPressu: systematické hledání](https://phpsos.de/cs/ratgeber/backdoor-wordpress-finden/): Kde se zadní vrátka ve WordPressu typicky ukrývají a jak je správci systematicky vyhledají pomocí WP-CLI a několika příkazů. - [Jak bezpečně nakonfigurovat php.ini](https://phpsos.de/cs/ratgeber/php-ini-sicher-konfigurieren/): Která nastavení v php.ini zmenšují plochu pro útok, jak je chránit před přepsáním a co platí navíc po PHP2Shell. - [Jak správně nasadit PHP disable_functions](https://phpsos.de/cs/ratgeber/disable-functions/): Pomocí disable_functions zakážete rizikové funkce PHP. Jak seznam sestavit podle své aplikace, aniž byste web vyřadili z provozu. - [open_basedir a izolace jednotlivých webů](https://phpsos.de/cs/ratgeber/open-basedir/): Jak pomocí open_basedir, samostatných systémových uživatelů a oddělených poolů PHP-FPM zabránit tomu, aby průnik do jednoho webu zasáhl všechny ostatní na serveru. - [Práva k souborům na webovém serveru](https://phpsos.de/cs/ratgeber/dateirechte-webserver/): Proč webový server nesmí měnit vlastní kód, jaká práva pro soubory a složky dávají smysl a jak rychle ověřit skutečný stav. - [composer audit: kontrola závislostí na zranitelnosti](https://phpsos.de/cs/ratgeber/composer-abhaengigkeiten-pruefen/): Jak vývojáři pomocí composer audit najdou známé zranitelnosti v knihovnách, kontrolu zautomatizují a vyhnou se typickým chybám při deploymentu. - [Konec podpory PHP: rizika zastaralých verzí](https://phpsos.de/cs/ratgeber/php-end-of-life-risiken/): Co znamená konec podpory verze PHP, které větve po PHP2Shell ještě dostávají oficiální záplaty a jak přechod naplánovat. - [Jak zabránit SQL injection v PHP](https://phpsos.de/cs/ratgeber/sql-injection-php/): Jak vývojáři spolehlivě vyloučí SQL injection v aplikacích PHP pomocí prepared statements, whitelistů a minimálních práv databáze. - [Jak zabránit XSS v PHP: spolehlivá obrana proti cross-site scriptingu](https://phpsos.de/cs/ratgeber/xss-php/): Jak vývojáři zabrání cross-site scriptingu v aplikacích PHP: kódování podle kontextu, automatické escapování v šablonách, čištění HTML a Content Security Policy. - [Bezpečné nahrávání souborů v PHP: bezpečnost uploadu](https://phpsos.de/cs/ratgeber/datei-upload-sicher/): Formuláře pro nahrávání jsou častou cestou pro webshelly. Jak správně kontrolovat typy souborů, ukládat je bezpečně a zabránit serveru ve spouštění nahraných skriptů. - [Zabezpečení relací v PHP: bezpečnost session v praxi](https://phpsos.de/cs/ratgeber/session-sicherheit-php/): Session udržují uživatele přihlášené, a jsou proto lákavým cílem. Jak bezpečně nastavit cookies, ID session a místa uložení a jak uplatnit upozornění k PHP2Shell u upload progress. - [Nezabezpečená deserializace v PHP: unserialize a bezpečnost](https://phpsos.de/cs/ratgeber/deserialisierung-php/): unserialize() s cizími daty může v nejhorším případě vést ke spuštění kódu. Jak ji nahradit JSON, omezit tam, kde musí zůstat, a najít riziková místa v kódu. - [Jak zabránit Local File Inclusion v PHP: LFI a RFI](https://phpsos.de/cs/ratgeber/lfi-rfi/): Pokud include nebo require přebírají cesty z požadavku, mohou útočníci načítat cizí soubory. Jak bezpečně postavit výběr stránek a šablon a server navíc zabezpečit. - [Ochrana přihlášení správců před brute force: ochrana každého loginu](https://phpsos.de/cs/ratgeber/brute-force-login-schutz/): Automatizované pokusy o heslo zasáhnou každou dostupnou přihlašovací stránku. Jak útočníky zpomalit pomocí rate limitingu a Fail2ban, chránit účty druhým faktorem a správně ukládat hesla. - [DDoS, nebo hackerský útok? Jak útoky správně zařadit](https://phpsos.de/cs/ratgeber/ddos-oder-exploit/): Pomalý web, vysoká zátěž, podivné soubory: zda za tím stojí DDoS, nebo průnik, rozhoduje o správné reakci. Jak situaci zařadit několika kontrolami. - [Vyhodnocení logů webového serveru po útoku: jak číst access log](https://phpsos.de/cs/ratgeber/logfiles-auswerten/): Soubory logů jsou po útoku často nejdůležitější stopou. Jak správně zajistit logy access, error a PHP, najít nápadné požadavky a vyhnout se typickým chybám při vyhodnocení. - [Jak zavést dvoufázové ověření pro přístupy správců](https://phpsos.de/cs/ratgeber/zwei-faktor-admin/): Odcizené heslo nesmí stačit k převzetí vašeho serveru nebo e-shopu. Jak zvolit vhodnou metodu, zabezpečit všechny přístupy správců a naplánovat nouzové přístupy. - [Strategie zálohování serveru: zálohy podle pravidla 3-2-1](https://phpsos.de/cs/ratgeber/backups-3-2-1/): Záloha pomůže jen tehdy, když přežije útok a dá se obnovit. Jak uplatnit pravidlo 3-2-1 pro webové servery a správně naplánovat uchování a testy. - [Bezpečnostní hlavičky pro weby: jak je správně nastavit](https://phpsos.de/cs/ratgeber/sicherheits-header/): Bezpečnostní hlavičky přikazují prohlížeči lépe chránit vaše návštěvníky. Jak nastavit nejdůležitější hlavičky v Nginx a Apache, zavést Content Security Policy postupně a zkontrolovat výsledek. - [Jak odstranit varování Google „Tento web byl hacknut“](https://phpsos.de/cs/ratgeber/google-warnung-entfernen/): Varování před hackem ve výsledcích vyhledávání stojí návštěvníky i důvěru. Jak web důkladně vyčistit, najít skryté spamové stránky a požádat o posouzení v Search Console. - [Kontrolní seznam po hacku: 20 bodů pro následné kroky](https://phpsos.de/cs/ratgeber/checkliste-nach-dem-hack/): Po útoku záleží na správném pořadí. Tento seznam vás ve 20 bodech provede zadržením, zajištěním důkazů, čištěním, novými přístupy, povinnostmi a zdokumentovaným uzavřením.