Lühidalt: Turvalisusele keskenduv veebisaidi hooldusleping hoolitseb selle eest, et uuendused, varukoopiad ja jälgimine ei sõltu juhusest. Hooldame teie veebisaite ja PHP servereid püsivalt, hoiame seisu ajakohasena, testime taastamist ja reageerime kokkulepitud käigu järgi, kui saab teatavaks uus turvaauk. Saate regulaarselt arusaadava aruande.
Miks turvalisus kuulub veebisaidi hooldusleppesse
Paljud hooldulepingud katavad CMS-i uuendused ja lõpevad sellega. PHP2Shell on näidanud, et see ei piisa: turvaaugud CVE-2026-109618 ja CVE-2026-109619 asuvad PHP-s endas, mitte CMS-is. WordPressi või Shopware'i uuendus neid ei sulge. Kes hooldab ainult CMS-i, ei näe tegelikku ohtu.
Lisaks tuleb ajategur. php.net-i eelteate 20.10.2026 ja paikade avaldamise 21.10. vahele jäi üks päev, meediateadete kohaselt oli juba 17.10. esimene täheldatud ründekatse. Sellistes olukordades aitab ainult eelnevalt paigas olev käik ja keegi, kellel on ligipääs ja kes teab, millised süsteemid on mõjutatud. Kes alles tõsises olukorras otsib ligipääsuandmeid, helistab teenusepakkujatele ja selgitab vastutusalasid, kaotab täpselt selle aja, mida ründajad kasutavad.
Veel üht punkti alahinnatakse sageli: varukoopiad, mida pole kunagi tagasi pandud, on lubadus ilma tõendita. Alles taastamistest näitab, kas varukoopia on täielik ja kui kaua tegelikult kulub töö juurde naasmiseks.
Kellele turvahooldusleping tasub ära
Turvalisusele keskenduv hooldusleping sobib eelkõige ettevõtetele, kelle veebisait või pood on ärikriitiline, kuid kellel puudub oma serveri- ja PHP-haldus. Tüüpilised on veebikauplejad, praksised, advokaadibürood ja keskmise suurusega ettevõtted klienditeenindusportaalidega, aga ka avalikud asutused mitme veebiesindusega.
Sama mõistlik on see, kui vastutus on täna jaotatud paljude õlgadele: agentuur ehitas veebisaidi, veebimajutaja pakub serveri, endine töötaja teadis ligipääse. Sellistes olukordades nagu PHP2Shell selgub kiiresti, et keegi ei ole üheselt vastutav. Leping loob kindla koha, mis teab ja tohib tegutseda.
Ühe väikese veebisaidi puhul ilma vormide või kliendiandmeteta võib piisata kitsamast mahust. Selle selgitame inventuuri käigus.
Mida turvahooldusleping sisaldab
- Uuendused: operatsioonisüsteem, veebiserver, PHP, CMS, laiendused ja sõltuvused, kindla rütmi järgi ja lisaks kriitiliste turvaaukude korral
- Taaskäivitus ja tõend: pärast PHP uuendusi kõigi tööprotsesside taaskäivitus koos kontrolliga, et vanu protsesse ei tööta
- Varukoopiad: 3-2-1-reegli järgi, regulaarse taastamistestiga. Alused on kirjas lehel Varukoopiad 3-2-1-reegli järgi.
- Jälgimine: failide terviklus, sisselogimised, protsessid ja logid, nagu on kirjeldatud lehel Turvaseire veebiserveritele
- Elutsükkel: varajane planeerimine enne, kui PHP versioon jõuab toe lõppu, näiteks PHP 8.2 31.12.2026
- Hädaolukorra käik: kooskõlastatud sammud tõsiseks olukorraks, ligipääsud ja kontaktisikud, mis on intsidendi korral kohe teada
- Aruanne: regulaarne kokkuvõte paigaldatud uuenduste, sündmuste ja soovitustega
Kes mille eest vastutab?
Paljud turvaaugud ei teki tehniliselt, vaid korralduslikult: igaüks arvab, et keegi teine hoolitseb. Seetõttu fikseerime vastutusalad kirjalikult. Tüüpiline näide:
| Ülesanne | Veebimajutaja | Agentuur | PHP SOS | Teie |
|---|---|---|---|---|
| Riistvara, võrk, andmekeskus | jah | |||
| Operatsioonisüsteemi ja PHP uuendused | lepingu järgi | jah | ||
| CMS ja laiendused | jah | kokkuleppel | ||
| Sisu ja kasutajakontod | jah | |||
| Jälgimine ja hädaolukorra käik | jah | heakskiidud |
Tegelik jaotus sõltub teie lepingutest. Eriti hallatavate serverite puhul tasub täpselt vaadata, mida pakkuja tegelikult enda peale võtab, vt Hallatav server: vastutuse selgitamine. Palju klientide veebisaite haldavad agentuurid leiavad sobiva mudeli lehelt Turvapartner agentuuridele.
Kuidas PHP SOS konkreetselt aitab?
- Inventuur: Kaardistame kõik veebisaidid, serverid, versioonid, ligipääsud, varukoopiad ja olemasolevad lepingud.
- Esmane kindlustamine: Avatud uuendused ja teadaolevad nõrkused suletakse esimesena, enne kui jooksev hooldus algab.
- Kokkulepe: Fikseerime kirjalikult mahu, rütmi, vastutusalad ja hädaolukorra käigu, ka küsimuse, millal teilt enne muudatusi küsitakse.
- Jooksev hooldus: Uuendused, varukoopiad, jälgimine ja aruanded plaani järgi, kriitiliste turvaaukude korral lisaks kokkulepitud hädaolukorra käigu järgi.
- Iga-aastane ülevaatus: Kontrollime koos, kas leping sobib endiselt teie süsteemimaastikuga.
Mida me vajame ja mida me ei luba
Vajame püsivaid haldusligipääse, otsustusõigusega kontaktisikut, kontakti veebimajutaja ja agentuuriga ning teavet teie rakenduste kavandatud muudatuste kohta. Ligipääse haldame kliendi kaupa eraldi ja dokumenteerime, kellel on ligipääs. Kui plaanite oma süsteemides muudatusi, näiteks uut poodi, järgmist veebisaiti või veebimajutaja vahetust, andke meile varakult teada, et uuendused, varukoopiad ja jälgimine kasvaksid kaasa.
Me ei luba, et teie süsteeme kunagi ei rünnata. Hooldusleping vähendab riski ja tagab, et tõsises olukorras tegutsetakse kiiresti ja korrapäraselt. Hindu ja reageerimisaegu me üldiselt ei nimeta, vaid määrame need pärast inventuuri pakkumises. Kuidas tõsiseks olukorraks lisaks korralduslikult valmistuda, kirjeldab IT-hädaolukorra plaani koostamine veebiserveritele.
Korduma kippuvad küsimused
Mis kuulub turvalisusele keskenduvasse veebisaidi hooldusleppesse?
Vähemalt serveri, PHP, CMS-i ja laienduste uuendused, regulaarsed varukoopiad koos taastamistestiga, turvajälgimine ja selge reegel hädaolukordade jaoks. Oluline on ka kirjalikult fikseerida, kes mille eest vastutab.
Kas hooldusleping asendab minu agentuuri või veebimajutaja?
Mitte tingimata. Sageli töötame koos agentuuri ja veebimajutajaga ning võtame enda peale turvaosa. Otsustav on, et vastutusalad on lünkadeta jaotatud ja midagi ei jää osaliste vahele.
Mis juhtub, kui saab teatavaks kriitiline turvaauk nagu PHP2Shell?
Siis kontrollime, millised teie süsteemid on mõjutatud, paigaldame uuendused kokkulepitud käigu järgi või rakendame ajutised meetmed ning teavitame teid seisust. Kui kiiresti see toimub, määrame lepingus koos kindlaks.
Kas on olemas kindel hind?
Maht sõltub teie süsteemide arvust ja liigist. Koostame pärast inventuuri pakkumise, mis kirjeldab täpselt, mis sisaldub.