Stručne: Zmluva o údržbe webu so zameraním na bezpečnosť zabezpečí, že aktualizácie, zálohy a dohľad nezávisia od náhody. O vaše weby a servery s PHP sa staráme trvalo, udržiavame ich aktuálne, testujeme obnovu a po zverejnení novej zraniteľnosti reagujeme podľa dohodnutého postupu. Pravidelne dostanete zrozumiteľnú správu.
Prečo patrí bezpečnosť do zmluvy o údržbe webu
Mnohé zmluvy o údržbe pokrývajú aktualizácie CMS a tým sa končia. PHP2Shell ukázalo, že to nestačí: zraniteľnosti CVE-2026-109618 a CVE-2026-109619 sa nachádzajú v samotnom PHP, nie v CMS. Aktualizácia WordPressu alebo Shopwaru ich neuzavrie. Kto udržiava iba CMS, nemá skutočné nebezpečenstvo na očiach.
K tomu pribúda faktor času. Medzi vopred ohlásením php.net 20. 10. 2026 a zverejnením záplat 21. 10. uplynul jeden deň, podľa správ médií bol už 17. 10. pozorovaný prvý pokus o útok. V takýchto situáciách pomôže iba postup, ktorý je stanovený vopred, a niekto, kto má prístup a vie, ktoré systémy sú dotknuté. Kto až v núdzi hľadá prístupové údaje, volá dodávateľom a vyjasňuje zodpovednosti, stráca práve ten čas, ktorý útočníci využívajú.
Ďalší bod sa často podceňuje: zálohy, ktoré sa nikdy neobnovili, sú sľub bez dokladu. Až test obnovy ukáže, či je záloha úplná a ako dlho v skutočnosti trvá návrat do prevádzky.
Pre koho sa zmluva o bezpečnostnej údržbe oplatí
Zmluva o údržbe so zameraním na bezpečnosť sa hodí predovšetkým pre firmy, ktorých web alebo obchod je pre podnikanie kritický, ale nemajú vlastnú administráciu serverov a PHP. Typickí sú internetoví predajcovia, ambulancie, advokátske kancelárie a stredné podniky so zákazníckymi portálmi, ale aj verejné orgány s viacerými webovými prezentáciami.
Rovnako zmysluplná je, ak je zodpovednosť dnes rozdelená medzi viacerých: agentúra vytvorila web, poskytovateľ hostingu poskytuje server, bývalý zamestnanec poznal prístupy. V takýchto konštelácich sa pri situáciách ako PHP2Shell rýchlo ukáže, že nikto nie je jednoznačne zodpovedný. Zmluva vytvára pevné miesto, ktoré vie a smie konať.
Pre jediný, malý web bez formulárov alebo údajov zákazníkov môže stačiť štíhlejší rozsah. To objasníme pri inventúre.
Čo zmluva o bezpečnostnej údržbe obsahuje
- Aktualizácie: operačný systém, webový server, PHP, CMS, rozšírenia a závislosti, v pevnom rytme a dodatočne pri kritických zraniteľnostiach
- Reštart a doklad: po aktualizáciách PHP reštart všetkých workerov s kontrolou, že nebežia žiadne staré procesy
- Zálohy: podľa pravidla 3-2-1, s pravidelným testom obnovy. Základy nájdete na stránke Zálohy podľa pravidla 3-2-1.
- Dohľad: integrita súborov, prihlásenia, procesy a logy, ako je opísané na stránke Security monitoring pre webové servery
- Životný cyklus: včasné plánovanie predtým, než verzia PHP dosiahne koniec podpory, napríklad PHP 8.2 dňa 31. 12. 2026
- Núdzový postup: dohodnuté kroky pre núdzový prípad, prístupy a kontaktné osoby, ktoré sú pri incidente okamžite známe
- Správa: pravidelné zhrnutie s nasadenými aktualizáciami, udalosťami a odporúčaniami
Kto je za čo zodpovedný?
Mnohé bezpečnostné medzery nevznikajú technicky, ale organizačne: každý si myslí, že sa o to stará niekto iný. Preto zodpovednosti zaznamenávame písomne. Typický príklad:
| Úloha | Poskytovateľ hostingu | Agentúra | PHP SOS | Vy |
|---|---|---|---|---|
| Hardvér, sieť, dátové centrum | áno | |||
| Operačný systém a aktualizácie PHP | podľa zmluvy | áno | ||
| CMS a rozšírenia | áno | po dohode | ||
| Obsah a používateľské účty | áno | |||
| Dohľad a núdzový postup | áno | schvaľovanie |
Skutočné rozdelenie závisí od vašich zmlúv. Najmä pri spravovaných serveroch sa oplatí pozrieť sa presne, čo poskytovateľ naozaj preberá, pozri Spravovaný server: objasnenie zodpovednosti. Agentúry s mnohými zákazníckymi webmi nájdu vhodný model na stránke Bezpečnostný partner pre agentúry.
Ako konkrétne pomáha PHP SOS?
- Inventúra: Zaznamenáme všetky weby, servery, verzie, prístupy, zálohy a existujúce zmluvy.
- Prvotné zabezpečenie: Otvorené aktualizácie a známe slabiny sa uzavrú ako prvé, predtým než sa začne priebežná starostlivosť.
- Dohoda: Rozsah, rytmus, zodpovednosti a núdzový postup zaznamenáme písomne, aj otázku, kedy sa vás pred zmenami opýtame.
- Priebežná starostlivosť: Aktualizácie, zálohy, dohľad a správy podľa plánu, pri kritických zraniteľnostiach dodatočne podľa dohodnutého núdzového postupu.
- Ročná kontrola: Spolu preveríme, či zmluva stále zodpovedá vašej systémovej krajine.
Čo potrebujeme a čo nesľubujeme
Potrebujeme trvalé administrátorské prístupy, kontaktnú osobu s právomocou rozhodovať, kontakt na poskytovateľa hostingu a agentúru a informácie o plánovaných zmenách vo vašich aplikáciách. Prístupy spravujeme oddelene pre každého zákazníka a dokumentujeme, kto má prístup. Ak plánujete zmeny vo svojich systémoch, napríklad nový obchod, ďalší web alebo zmenu poskytovateľa hostingu, povedzte nám to včas, aby aktualizácie, zálohy a dohľad rástli spolu s nimi.
Nesľubujeme, že vaše systémy nikdy nebudú napadnuté. Zmluva o údržbe znižuje riziko a zabezpečuje, že sa v núdzi koná rýchlo a usporiadane. Ceny a reakčné časy neuvádzame paušálne, ale určíme ich v ponuke po inventúre. Ako núdzový prípad navyše organizačne pripraviť, popisuje stránka Vytvorenie IT pohotovostného plánu pre webové servery.
Časté otázky
Čo patrí do zmluvy o údržbe webu so zameraním na bezpečnosť?
Minimálne aktualizácie servera, PHP, CMS a rozšírení, pravidelné zálohy s testom obnovy, bezpečnostný dohľad a jasná úprava pre núdzové prípady. Dôležité je aj písomne zaznamenať, kto za čo zodpovedá.
Nahrádza zmluva o údržbe moju agentúru alebo poskytovateľa hostingu?
Nie nevyhnutne. Často spolupracujeme s agentúrou a poskytovateľom hostingu a preberáme bezpečnostnú časť. Rozhodujúce je, aby boli zodpovednosti rozdelené bez medzier a nič nezostalo ležať medzi zúčastnenými.
Čo sa stane, keď sa zverejní kritická zraniteľnosť ako PHP2Shell?
Potom preveríme, ktoré z vašich systémov sú dotknuté, nasadíme aktualizácie podľa dohodnutého postupu alebo zavedieme prechodné opatrenia a informujeme vás o stave. Ako rýchlo sa to stane, určíme spoločne v zmluve.
Existuje pevná cena?
Rozsah závisí od počtu a druhu vašich systémov. Po inventúre vypracujeme ponuku, ktorá presne opisuje, čo je zahrnuté.