Bezpieczeństwo strony firmowej: HTTPS, nagłówki, poczta w domenie, aktualizacje i kopie zapasowe w jednej liście

Przed czym chronisz małą firmę: trzy typowe sytuacje

Strona małej firmy rzadko pada ofiarą ataku wymierzonego właśnie w nią. Częściej trafia na nią automat, który szuka starych wtyczek, albo ktoś wysyła maile, udając Twoją firmę.

Pierwsza sytuacja to podszywanie się w poczcie. Ktoś wysyła Twoim klientom maila z adresu w Twojej domenie, na przykład z „nowym numerem konta” do faktury. Jeśli domena nie ma rekordów SPF i DMARC, serwer odbiorcy nie ma jak sprawdzić, że mail nie pochodzi od Ciebie.

Druga to przejęcie strony przez lukę w nieaktualnej wtyczce albo motywie. Automaty przeszukują internet w poszukiwaniu znanych luk i nie wybierają ofiar. Skutek to spam w treści strony, przekierowania na obce strony albo wyciek danych z formularzy.

Trzecia to utrata danych bez kopii: awaria serwera, błąd przy aktualizacji, zaszyfrowanie plików przez złośliwe oprogramowanie. Jeśli jedyna kopia leży na tym samym serwerze co strona, znika razem z nią.

RODO każe administratorowi danych wdrożyć zabezpieczenia odpowiednie do ryzyka (art. 32), a naruszenie ochrony danych zgłosić Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób, których dane dotyczą (art. 33). Formularz kontaktowy z danymi klientów wystarczy, żeby te przepisy Cię dotyczyły.

HTTPS i HSTS: szyfrowanie bez wyjątków

HTTPS szyfruje połączenie między przeglądarką a serwerem. Certyfikat dostaniesz bezpłatnie, a cała praca polega na tym, żeby strona nigdy nie działała bez niego.

Bezpłatne certyfikaty wydaje między innymi Let’s Encrypt, a większość firm hostingowych włącza je jednym przyciskiem. Certyfikat płatny nie szyfruje mocniej. Różni się zakresem sprawdzenia firmy, które dla strony usługowej rzadko ma znaczenie. Ważne, żeby certyfikat odnawiał się sam.

Sam certyfikat nie wystarczy. Adres zaczynający się od http musi przekierowywać na wersję z https jednym krokiem, kodem 301, czyli przekierowaniem stałym, a wersja z www i bez www na jeden wybrany adres. Bezpłatny skan sprawdza oba przekierowania i ostrzega, gdy któreś jest tymczasowe (kod 302) albo gdy jedna z wersji w ogóle się nie otwiera. Czym różnią się kody 301, 302, 307 i 308, opisuje przewodnik o HTTPS i przekierowaniach.

HSTS (Strict-Transport-Security) to nagłówek, który mówi przeglądarce: przez określony czas łącz się z tą domeną tylko przez HTTPS. Chroni przed sytuacją, w której ktoś w publicznej sieci Wi-Fi podsuwa wersję strony bez szyfrowania. Czas podajesz w sekundach w parametrze max-age, a includeSubDomains rozciąga zasadę na wszystkie subdomeny.

Wprowadzaj go etapami. Serwis hstspreload.org, przez który zgłasza się domeny na listę HSTS wbudowaną w przeglądarki, radzi zacząć od 5 minut (max-age=300), potem przejść na tydzień i miesiąc, a po każdym etapie sprawdzić, czy wszystko działa. Ostrożnie z includeSubDomains: obejmie też subdomeny, o których łatwo zapomnieć, na przykład stary panel albo pocztę w przeglądarce, i jeśli któraś nie ma certyfikatu, przestanie się otwierać. Wpis na listę wbudowaną w przeglądarki wymaga max-age co najmniej 31536000 sekund, czyli roku, oraz parametrów includeSubDomains i preload.

# Etap 1: próba na 5 minut
Strict-Transport-Security: max-age=300; includeSubDomains

# Etap 2 i 3: tydzień, potem miesiąc
Strict-Transport-Security: max-age=604800; includeSubDomains
Strict-Transport-Security: max-age=2592000; includeSubDomains

# Etap końcowy: rok
Strict-Transport-Security: max-age=31536000; includeSubDomains

Nagłówki bezpieczeństwa: kilka linijek w konfiguracji serwera

Nagłówki bezpieczeństwa to instrukcje dla przeglądarki, wysyłane razem ze stroną. Ustawia się je raz, w konfiguracji serwera, w panelu hostingu, w CDN albo wtyczką, a chronią każdą podstronę.

Najwięcej daje CSP (Content-Security-Policy), czyli lista źródeł, z których strona może ładować skrypty, style i obrazki. Jeśli ktoś wstrzyknie na stronę obcy skrypt, przeglądarka go nie uruchomi, bo nie ma go na liście. CSP trzeba dopasować do strony: analityka, czat i mapa to zewnętrzne źródła, które trzeba dopisać. Dlatego zaczynam od nagłówka Content-Security-Policy-Report-Only, który według MDN pozwala obserwować naruszenia polityki bez jej egzekwowania, a dopiero po kilku dniach bez błędów włączam właściwy CSP.

Ochronę przed osadzaniem strony w cudzej ramce daje nagłówek X-Frame-Options albo dyrektywa frame-ancestors w CSP. Chroni przed clickjackingiem, czyli podstawieniem Twojej strony pod niewidoczne przyciski na cudzej stronie. MDN zaznacza, że frame-ancestors daje więcej możliwości niż X-Frame-Options; ustawiam oba.

Reszta kosztuje po jednej linijce. X-Content-Type-Options: nosniff każe przeglądarce nie zgadywać typu pliku, więc plik udający skrypt albo arkusz stylów zostanie zablokowany. Referrer-Policy ustala, ile adresu Twojej strony przeglądarka przekazuje stronom, do których linkujesz; wartość strict-origin-when-cross-origin jest dziś domyślna w przeglądarkach i wysyła innym stronom tylko domenę. Permissions-Policy wyłącza funkcje, których strona nie używa, na przykład kamerę i mikrofon; MDN oznacza go jako technologię eksperymentalną, więc traktuj go jako dodatek.

Przy okazji wyłącz nagłówki, które zdradzają wersję oprogramowania, na przykład X-Powered-By z wersją PHP albo Server z numerem wersji serwera. Same w sobie nie są luką, ale ułatwiają automatom dobranie ataku do wersji. Wszystkie te nagłówki sprawdza bezpłatny skan strony, a to, jak je ustawić na Apache, nginx i Cloudflare, opisuje przewodnik o nagłówkach bezpieczeństwa.

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; img-src 'self' data:; frame-ancestors 'none'; base-uri 'none'; form-action 'self'
X-Frame-Options: DENY
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Nagłówki bezpieczeństwa: przed czym chronią i kto zwykle je ustawia.

Tabela jest szersza niż ekran: przesuń ją palcem w bok.

Poczta w domenie: SPF, DKIM i DMARC

Trzy rekordy w DNS decydują o tym, czy ktoś może łatwo wysyłać maile, udając Twoją firmę. Dodaje się je w panelu domeny, zwykle w kwadrans, ale najpierw trzeba wiedzieć, co wysyła pocztę w Twoim imieniu.

SPF to lista serwerów, które mogą wysyłać pocztę z Twojej domeny, zapisana w rekordzie TXT. Norma RFC 7208 mówi, że domena może mieć tylko jeden taki rekord: przy dwóch sprawdzenie kończy się błędem. Ten sam dokument ogranicza do 10 liczbę elementów, które wymagają dodatkowych zapytań DNS, takich jak include. Przekroczenie limitu też daje błąd, a łatwo w niego wpaść, gdy dopisuje się kolejne narzędzia do mailingu i faktur. Rekord kończy się regułą -all albo ~all; reguła +all pozwala wysyłać maile z Twojej domeny każdemu serwerowi na świecie.

DKIM, opisany w normie RFC 6376, to podpis cyfrowy dodawany do każdego maila przez serwer, który go wysyła. Klucz do sprawdzenia podpisu leży w DNS pod nazwą selektor._domainkey.twojadomena.pl, a selektor nadaje dostawca poczty, na przykład Google Workspace albo Microsoft 365. Dlatego bezpłatny skan sprawdza tylko typowe selektory: brak wyniku nie zawsze oznacza brak podpisu, ale warto wtedy zapytać dostawcę, czy DKIM jest włączony.

DMARC łączy SPF i DKIM i mówi serwerom odbiorców, co robić z mailem, który nie przeszedł sprawdzenia. Od maja 2026 r. opisuje go norma RFC 9989, która zastąpiła RFC 7489. Polityka none tylko zbiera raporty, quarantine każe odkładać podejrzane maile do spamu, a reject je odrzucać. Zaczynasz od none z adresem do raportów, przez kilka tygodni sprawdzasz, czy wszystkie Twoje narzędzia przechodzą sprawdzenie, i dopiero wtedy zaostrzasz politykę.

Gmail od 1 lutego 2024 r. wymaga od każdego nadawcy SPF albo DKIM, a od tych, którzy wysyłają do Gmaila ponad 5000 wiadomości dziennie, SPF, DKIM i DMARC co najmniej z polityką none. Konfigurację poczty w domenie sprawdzisz też bezpłatnie w serwisie bezpiecznapoczta.cert.pl, który prowadzi CERT Polska. Jak chronić także domenę, z której nikt nie wysyła poczty, opisuje przewodnik o SPF, DKIM i DMARC.

1. Spisz, co wysyła pocztę z Twojej domenySkrzynki, formularz na stronie, sklep, program do faktur, newsletter. Każde z tych narzędzi musi być w SPF albo podpisywać maile kluczem DKIM.
2. Ustaw jeden rekord SPFPołącz wszystkie wpisy include w jednym rekordzie i zakończ go regułą -all albo ~all. Dwa osobne rekordy SPF to błąd.
3. Włącz DKIM u każdego dostawcyW panelu poczty i w narzędziu do newslettera znajdziesz rekord DKIM do skopiowania do DNS.
4. Dodaj DMARC z polityką noneZ adresem do raportów zbiorczych (rua). Raporty pokażą, które serwery wysyłają maile z Twojej domeny.
5. Zaostrz politykęGdy raporty pokazują, że Twoje narzędzia przechodzą sprawdzenie, zmień none na quarantine, a później na reject.

; SPF: pocztę wysyła tylko Google Workspace, reszta odrzucana
twojafirma.pl.          TXT  "v=spf1 include:_spf.google.com -all"

; DMARC na start: tylko raporty
_dmarc.twojafirma.pl.   TXT  "v=DMARC1; p=none; rua=mailto:dmarc@twojafirma.pl"

; DMARC po kilku tygodniach bez błędów w raportach
_dmarc.twojafirma.pl.   TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@twojafirma.pl"

Domena: DNSSEC i CAA

Dwa ustawienia domeny utrudniają podszycie się pod Twoją stronę na poziomie DNS i certyfikatów. Oba włączasz raz.

DNSSEC podpisuje odpowiedzi DNS, czyli informację, pod jakim adresem stoi Twoja strona i Twój serwer poczty. Dzięki podpisowi serwery DNS, z których korzystają odwiedzający, mogą sprawdzić, że nikt tej odpowiedzi po drodze nie podmienił. U wielu rejestratorów to jedna opcja w panelu domeny; jeśli Twój rejestrator jej nie ma, zapytaj o nią przy najbliższym przedłużeniu domeny. Obie blokady i pułapkę przy zmianie dostawcy DNS opisuje przewodnik o DNSSEC i CAA.

CAA to rekord DNS, w którym wskazujesz urzędy certyfikacji uprawnione do wystawiania certyfikatów dla Twojej domeny. Opisuje go norma RFC 8659, według której taki rekord pozwala urzędom ograniczyć ryzyko wystawienia certyfikatu komuś, kto nie powinien go dostać. Jeśli certyfikat wystawia Let’s Encrypt, wpisujesz go w rekordzie CAA i tylko on ma prawo wystawić certyfikat na Twoją domenę.

twojafirma.pl.  CAA  0 issue "letsencrypt.org"

Aktualizacje: system, wtyczki i konta administratorów

Automaty szukają w internecie znanych luk w starych wersjach systemów i wtyczek. Aktualizacje to najtańsze zabezpieczenie, pod warunkiem że ktoś je naprawdę robi.

Według dokumentacji WordPressa automatyczne aktualizacje w tle wprowadzono w wersji 3.7. Drobne wydania systemu, czyli poprawki błędów i bezpieczeństwa, oraz tłumaczenia instalują się same na większości stron. Od wersji 5.6 nowe instalacje aktualizują się automatycznie także do kolejnych dużych wersji, a starsze zachowują wcześniejsze ustawienie. Wtyczki i motywy aktualizują się same dopiero wtedy, gdy włączysz to dla każdej z nich osobno, co umożliwia wersja 5.5.

Automatyczne aktualizacje wtyczek włączam dla tych od sprawdzonych autorów i tam, gdzie awaria nie zatrzyma sprzedaży. W sklepie aktualizuję ręcznie, najpierw na kopii strony, i zawsze po świeżej kopii zapasowej; dokumentacja WordPressa też radzi zrobić kopię strony przed aktualizacją. Na platformach abonamentowych, takich jak Shopify czy Wix, system aktualizuje dostawca, a Twoją sprawą zostają dodatki, konta użytkowników i hasła.

• Usuń, czego nie używaszWyłączona wtyczka wciąż leży na serwerze i może mieć lukę. Nieużywane wtyczki i motywy usuń, zostaw jeden motyw zapasowy.
• Osobne konta, najmniej uprawnieńKażda osoba ma własne konto. Pełne uprawnienia administratora mają jedna albo dwie osoby, reszta pracuje na koncie redaktora.
• Logowanie dwuetapoweHasło plus kod z aplikacji w telefonie dla każdego konta administratora, także w panelu hostingu i u rejestratora domeny.
• Konto u rejestratora domenyKto przejmie konto u rejestratora, przejmie domenę, stronę i pocztę. Sprawdź, na czyj e-mail jest zarejestrowane i czy nie jest to adres byłego pracownika albo agencji.

Kopie zapasowe, które da się odtworzyć

Kopia, której nikt nie próbował odtworzyć, to nadzieja, a nie kopia. Zasada 3-2-1 jest prosta i działa także w jednoosobowej firmie.

Centrum e-Zdrowia w zaleceniach dotyczących systemu kopii zapasowych opisuje strategię 3-2-1: co najmniej trzy kopie, co najmniej dwie na różnych nośnikach i co najmniej jedna odizolowana od pozostałych i od sieci lokalnej. Te same zalecenia każą sprawdzać, czy kopia naprawdę pozwala odtworzyć system z danymi i konfiguracją, cyklicznie testować odtwarzanie w osobnym środowisku i nie podłączać kopii jako dysku sieciowego, do którego dostanie się złośliwe oprogramowanie.

Dla strony firmowej oznacza to w praktyce: kopię u firmy hostingowej, drugą wysyłaną automatycznie poza serwer, na przykład do osobnego magazynu w chmurze, i trzecią, którą co jakiś czas pobierasz u siebie. Kopia obejmuje pliki strony i bazę danych, a w sklepie także zamówienia. Zapisz też rekordy DNS domeny, bo po przejęciu konta albo zmianie dostawcy trzeba je odtworzyć ręcznie.

Częstotliwość zależy od tego, jak często zmienia się strona. Zalecenia Centrum e-Zdrowia podają jako przykład codzienną kopię różnicową albo przyrostową, czyli samych zmian, i pełną kopię raz w tygodniu. Wizytówce, którą zmieniasz raz w miesiącu, wystarczy rzadziej, a sklep z zamówieniami potrzebuje kopii codziennie.

Plik security.txt i co zrobić, gdy coś się stanie

security.txt to krótki plik, który mówi, gdzie zgłosić znalezioną lukę. Bez niego uczciwa osoba, która zauważy problem na Twojej stronie, nie wie, do kogo napisać.

Plik opisuje norma RFC 9116. Leży pod adresem twojadomena.pl/.well-known/security.txt i musi zawierać dwa pola: Contact, czyli adres e-mail, telefon albo stronę do zgłoszeń, i Expires, czyli datę, po której plik uznaje się za nieaktualny. Norma zaleca, żeby ta data była nie dalej niż rok naprzód, więc wpisz do kalendarza przypomnienie o odnowieniu. Bezpłatny skan sprawdza, czy plik jest i czy nie wygasł, a gotowy wzór pliku podaje przewodnik o security.txt.

Gdy dojdzie do incydentu, liczy się kolejność działań. Incydent możesz zgłosić CERT Polska w serwisie incydent.cert.pl. Jeśli naruszenie dotyczy danych osobowych, masz 72 godziny od jego stwierdzenia na zgłoszenie do Prezesa UODO, chyba że jest mało prawdopodobne, by powodowało ryzyko dla osób, których dane dotyczą.

1. Odetnij dostępZmień hasła do panelu strony, hostingu, bazy danych i poczty, a stronę na czas porządków przełącz w tryb przerwy technicznej.
2. Odtwórz z czystej kopiiZ kopii sprzed włamania, a potem od razu zaktualizuj system i wtyczki, bo inaczej luka zostanie.
3. Sprawdź konta, pliki i DNSNowe konta administratorów, obce pliki na serwerze, zmienione rekordy DNS i przekierowania.
4. Zgłoś, jeśli trzebaNaruszenie danych osobowych do UODO w ciągu 72 godzin, incydent do CERT Polska.
5. Zapisz, co się stałoDatę, co zauważyłeś i co zrobiłeś. Przyda się przy zgłoszeniu i w rozmowie z wykonawcą.

Contact: mailto:bezpieczenstwo@twojafirma.pl
Expires: 2027-10-01T00:00:00.000Z
Preferred-Languages: pl, en
Canonical: https://twojafirma.pl/.well-known/security.txt

Kontrola w kwadrans: od czego zacząć

Pierwszy przegląd zrobisz bez dostępu do serwera. Wystarczy przeglądarka, bezpłatne narzędzia i kwadrans.

Bezpłatny skan strony na audyt.jflowlabs.pl sprawdza w około minutę HTTPS i przekierowania, HSTS, CSP, ochronę przed osadzaniem w ramce, nosniff, Referrer-Policy, ujawnianą wersję serwera, pliki ładowane bez szyfrowania, rekordy SPF i DMARC, DKIM pod typowymi selektorami, DNSSEC, CAA, security.txt oraz flagi Secure i HttpOnly plików cookie, czyli ustawienia, które chronią pliki sesji przed wysłaniem bez szyfrowania i przed odczytem przez skrypty. Przy każdym błędzie podaje, kto zwykle go poprawia: Ty, programista, firma hostingowa albo osoba, która zarządza domeną.

Skan obejmuje stronę główną i do trzech podstron oraz rekordy całej domeny. Przy okazji sprawdza też, co o stronie widzą Google, ChatGPT i Claude. Prywatny link do raportu działa 24 godziny, więc listę poprawek przepisz od razu do arkusza albo prześlij wykonawcy.

1. Uruchom skanWpisz adres strony w polu na stronie głównej albo na audyt.jflowlabs.pl, zaznacz akceptację regulaminu i przepisz poprawki z raportu, zanim link wygaśnie po 24 godzinach.
2. Sprawdź pocztę w CERT PolskaWpisz domenę w serwisie bezpiecznapoczta.cert.pl i porównaj wynik z raportem skanu.
3. Zaloguj się do panelu stronyLista wtyczek do aktualizacji, nieużywane wtyczki i motywy, konta administratorów.
4. Zapytaj hosting o kopieJak często są robione, gdzie leżą, ile dni są trzymane i kiedy ostatnio ktoś odtworzył z nich stronę.
5. Sprawdź konto u rejestratoraNa czyj e-mail jest zarejestrowane i czy ma logowanie dwuetapowe.

Jak mogę pomóc

Poprawki z tej listy to zwykle kilka godzin pracy w konfiguracji serwera, w DNS i w panelu strony, a nie przebudowa.

Przy przenosinach strony przenoszę rekordy poczty (SPF, DKIM i DMARC) i certyfikat, co opisuję w przewodniku o przebudowie strony bez utraty ruchu. Jeśli strona już działa, zacznij od bezpłatnego skanu; poprawki z raportu, takie jak nagłówki, przekierowania, DMARC czy security.txt, wycenię osobno. Zakres usług znajdziesz w opisach strony internetowe i wdrożenia w chmurze.

Pracuję zdalnie, dla firm z całej Polski, i omawiam poprawki prostym językiem, tak żebyś wiedział, co zmieniło się na Twojej stronie i w domenie. O tym, czego prawo wymaga od samej treści strony, piszę w przewodniku co musi być na stronie firmy.

Pytania i odpowiedzi