Bezpečnosť webových stránok – checklist pre firmy

Bezpečnosť webových stránok je súbor technických a organizačných opatrení, ktoré chránia web, dáta zákazníkov a reputáciu firmy pred napadnutím, únikom dát a výpadkom. Malej firme stačí zvládnuť základ: aktualizácie, silné prihlásenie s 2FA, HTTPS, zálohy a monitoring. Väčšina útokov je automatizovaná a mieri na zanedbané weby, nie na konkrétnu firmu.

V skratke:

• Najčastejšou vstupnou bránou sú neaktualizované pluginy a šablóny, nie samotný redakčný systém.
• Dvojfaktorové overenie a unikátne heslá zastavia útoky postavené na ukradnutom alebo uhádnutom hesle.
• Záloha má zmysel, len ak ste z nej web niekedy skúsili obnoviť.
• Checklist nižšie prejdete za jedno popoludnie; potom ide hlavne o pravidelnosť.

Prečo riešiť bezpečnosť webu aj pri malej stránke

Útočníci si weby zvyčajne nevyberajú ručne. Roboty nepretržite prechádzajú internet a hľadajú známe zraniteľnosti, slabé heslá a zabudnuté inštalácie. Malý prezentačný web je pre ne rovnako užitočný ako e-shop: poslúži na rozosielanie spamu, na skryté SEO odkazy alebo na šírenie malvéru.

Potvrdzujú to aj dáta. Podľa správy Patchstack State of WordPress Security in 2026 bolo v roku 2025 v ekosystéme WordPressu nahlásených 11 334 nových zraniteľností, o 42 % viac ako rok predtým. 91 % z nich bolo v pluginoch, 9 % v šablónach a v samotnom jadre WordPressu len 6 menej závažných. Takmer polovica (46 %) nemala v čase zverejnenia opravu a najviac cielené chyby začali útočníci hromadne zneužívať v mediáne už po piatich hodinách.

Následky nie sú len technické: Google môže web označiť ako nebezpečný, návštevnosť z vyhľadávania padá a pri úniku osobných údajov máte povinnosti podľa GDPR.

Najčastejšie hrozby pre firemný web

Rebríček rizík OWASP Top 10 (2025) vedú chybné riadenie prístupu a chybná konfigurácia. Novo v ňom je zlyhanie dodávateľského reťazca softvéru (Software Supply Chain Failures) – pri bežnom webe práve pluginy, šablóny a knižnice tretích strán.

Checklist: bezpečnosť webových stránok v 15 bodoch

Čo neviete, si poznačte a opýtajte sa správcu webu alebo hostingu.

Aktualizácie a softvér

1. 1Aktualizujte jadro, pluginy aj šablóny aspoň raz týždenne, bezpečnostné opravy hneď. Prečo na bezpečnostných záplatách toľko záleží, vysvetľuje slovník.
2. 2Odstráňte nepoužívané pluginy a šablóny. Vypnutý plugin na serveri stále leží a dá sa zneužiť. Pri nových sledujte, kedy boli naposledy aktualizované.
3. 3Používajte podporovanú verziu PHP. K októbru 2026 dostávajú opravy verzie 8.2 (bezpečnostná podpora do 31. 12. 2026), 8.3, 8.4 a 8.5. WordPress odporúča PHP 8.3 a novšie.

Prístupy a heslá

1. 1Dlhé unikátne heslá v správcovi hesiel. Americký štandard NIST SP 800-63B-4 vyžaduje pri hesle, ktoré je jediným faktorom, aspoň 15 znakov a pravidelnú zmenu nevyžaduje – heslo meňte, keď hrozí jeho únik.
2. 2Zapnite [dvojfaktorové overenie (2FA)](/slovnik/dvojfaktorova-autentifikacia-2fa) do administrácie, k hostingu, u registrátora domény a v e-maile. Kto ovládne e-mail, resetuje si všetky ostatné heslá.
3. 3Každý má vlastný účet s najnižším potrebným oprávnením. Redaktor nepotrebuje práva administrátora. Účty bývalých zamestnancov a dodávateľov hneď rušte.
4. 4Obmedzte pokusy o prihlásenie (limit pokusov, CAPTCHA, pri interných systémoch obmedzenie podľa IP adresy).

Šifrovanie a server

1. 1HTTPS na celom webe a automatická obnova certifikátu. Od marca 2026 sa maximálna platnosť verejných TLS certifikátov postupne skracuje až na 47 dní v roku 2029, ručná obnova teda prestáva dávať zmysel. Chrome 154 (október 2026) navyše v predvolenom nastavení varuje pred prvou návštevou verejného webu bez HTTPS. Viac o SSL a HTTPS v slovníku.
2. 2Nastavte bezpečnostné HTTP hlavičky: HSTS, Content-Security-Policy, X-Content-Type-Options a frame-ancestors proti vkladaniu webu do cudzích rámcov. Stav overíte nástrojom HTTP Observatory od Mozilly (MDN).
3. 3Hosting s oddelením webov, firewallom a skenovaním malvéru. Lacný zdieľaný hosting bez izolácie ohrozuje aj dobre udržiavaný web. Na čo sa pozerať, opisujeme v článku ako vybrať webhosting a doménu. Ochrana na strane hostingu však aktualizácie nenahradí: v testoch Patchstacku zachytila len menšinu útokov zameraných na WordPress.

Zálohy a obnova

1. 1Automatické zálohy podľa pravidla 3-2-1: tri kópie dát, na dvoch typoch úložiska, jedna mimo servera. Zálohovanie dát pri e-shope nastavte denne, pri prezentačnom webe stačí týždenne a po každej väčšej zmene.
2. 2Raz za štvrťrok vyskúšajte obnovu na testovacej kópii. Záloha, ktorú nikto nevie obnoviť, je len pocit bezpečia.

Dáta a formuláre

1. 1Zbierajte len dáta, ktoré potrebujete, formuláre chráňte proti spamu (honeypot, CAPTCHA) a staré dopyty a exporty objednávok z webu pravidelne mažte. Menej dát znamená menšiu škodu pri úniku.

Monitoring a kontrola

1. 1Strážte dostupnosť a varovania. Nastavte monitoring výpadkov a v Google Search Console sledujte Prehľad bezpečnostných problémov, kde Google hlási napadnutý obsah, malvér alebo podvodné stránky.
2. 2Raz ročne urobte bezpečnostnú kontrolu. Pri e-shope, klientskej zóne alebo webovej aplikácii zvážte penetračný test od špecialistu.

Čo robiť, keď je web napadnutý

1. 1Nemažte nič naslepo. Web dočasne vypnite alebo prepnite do režimu údržby a uložte si kópiu napadnutého stavu na analýzu.
2. 2Zmeňte všetky heslá – administrácia, hosting, SFTP, databáza, e-mail – a odhláste všetky aktívne relácie.
3. 3Kontaktujte hosting. Z jeho logov sa často dá zistiť, kadiaľ útočník prišiel.
4. 4Obnovte web z čistej zálohy z obdobia pred napadnutím, alebo ho nechajte vyčistiť. Potom hneď aktualizujte všetko zastarané, inak sa útok zopakuje.
5. 5Požiadajte Google o kontrolu v Search Console, ak web označil ako nebezpečný.
6. 6Vyhodnoťte únik osobných údajov. Ak porušenie ochrany pravdepodobne predstavuje riziko pre dotknuté osoby, musíte ho podľa článku 33 GDPR do 72 hodín od zistenia oznámiť Úradu na ochranu osobných údajov SR.

Týka sa vás zákon o kybernetickej bezpečnosti?

Na Slovensku platí od 1. januára 2025 novela zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti, ktorá preberá smernicu NIS2. Týka sa tisícov organizácií, hlavne stredných a väčších firiem vo vybraných odvetviach; dozor vykonáva Národný bezpečnostný úrad. Malé firmy s prezentačným webom riešia hlavne GDPR.

Čo zvládnete sami a kedy prizvať odborníka

Ak web zarába alebo prináša dopyty, dohodnite si údržbu skôr, než sa niečo stane. V rámci správy webu (od 60 € mesačne bez DPH) zabezpečujeme aktualizácie s testovaním, zálohy mimo servera, monitoring dostupnosti a bezpečnostné nastavenia. Či vám stačí WordPress, rozoberáme v článku prečo WordPress stačí väčšine firemných webov. Máte podozrenie na napadnutie alebo chcete preveriť súčasný stav? Opíšte nám situáciu cez kontaktný formulár.