Proč je web dnes cílem i bez „velké“ značky

Velká část majitelů webů má pocit, že je nikdo nebude cílit, protože nejsou banka ani státní instituce. Realita je opačná: útočníci většinou nevybírají podle prestiže, ale podle zranitelnosti. Automatizované skripty procházejí internet nonstop a hledají slabá místa v CMS, pluginech, formulářích, přihlašování nebo špatně nakonfigurovaném hostingu.

Podle dlouhodobých bezpečnostních reportů patří mezi nejčastější incidenty kompromitace účtů, injektáž škodlivého kódu, zneužití zastaralých pluginů a phishing přes napadené kontaktní formuláře. U WordPressu je problém zvlášť viditelný: nejde o to, že by byl sám o sobě nebezpečný, ale že jeho ekosystém je obrovský a každý neudržovaný plugin je potenciální vstupní brána.

První důležitá změna v myšlení je tato: bezpečnost není stav, ale proces. Web je potřeba průběžně sledovat, aktualizovat a testovat stejně jako výkon nebo SEO.

Základní vrstva ochrany: aktualizace, přístupy a hosting

Nejvíce útoků se stále opírá o známé zranitelnosti. To znamená, že velmi často stačí pravidelná údržba, aby riziko dramaticky kleslo. U menších webů je největší slabinou kombinace starého jádra CMS, desítek pluginů a sdíleného hesla mezi více lidmi.

Co udělat hned

  • Aktualizujte CMS, pluginy i šablony minimálně jednou týdně, u kritických webů průběžně.
  • Omezte počet pluginů jen na nutné minimum. Každý další plugin je další útočná plocha.
  • Používejte unikátní hesla a správce hesel, ideálně s MFA/2FA pro administraci.
  • Oddělte role uživatelů – redaktor nepotřebuje administrátorský přístup.
  • Zvolte kvalitní hosting s WAF, izolací účtů, denními zálohami a možností obnovy jedním klikem.

U hostingu sledujte konkrétní parametry: zda nabízí Web Application Firewall, ochranu proti brute-force útokům, izolaci PHP procesů, automatické zálohy mimo primární server a rychlou obnovu. Pokud hosting neumí obnovit web z předchozího dne během několika minut, je to riziko nejen bezpečnostní, ale i provozní.

Praktický příklad: e-shop s tržbou 50 000 Kč denně může mít po napadení a odstavení webu ztrátu v řádu desítek tisíc během jediného dne. Když k tomu přičtete poškození důvěry a možné problémy s indexací ve vyhledávání, náklady rostou dál.

Technická ochrana webu: WAF, SSL, zálohy a monitoring

SSL certifikát je dnes standard, ale sám o sobě web neochrání. Šifruje komunikaci mezi návštěvníkem a serverem, což je důležité pro přihlašování, formuláře i důvěryhodnost. Skutečnou obranu ale tvoří kombinace více vrstev: firewall, monitoring, zálohování a detekce anomálií.

Bezpečnostní minimum, které by měl mít každý web

  • HTTPS všude včetně přesměrování z HTTP na HTTPS.
  • HSTS pro vynucení bezpečného připojení v prohlížeči.
  • WAF na úrovni hostingu nebo CDN, například Cloudflare.
  • Rate limiting proti útokům na přihlášení a formuláře.
  • Denní zálohy uložené mimo server, ideálně 7–30 dní zpětně.
  • Monitoring dostupnosti a změn souborů, například UptimeRobot, Better Uptime nebo serverový monitoring.

Z hlediska prevence je velmi účinné i omezení přístupu do administrace. Pokud web spravuje malý tým, zvažte přístup přes VPN, IP whitelist nebo alespoň dvoufaktorové ověření. U citlivějších projektů dává smysl sledovat i pokusy o přihlášení a fail2ban na úrovni serveru.

Pro WordPress je praktické nasadit bezpečnostní pluginy jako Wordfence nebo iThemes Security, ale jen jako doplněk, ne jako hlavní řešení. Bezpečnostní plugin nenahradí kvalitní hosting ani správně nastavené role uživatelů.

Nejčastější slabiny: formuláře, administrace a zastaralý kód

Útočníci často neútočí na „velký systém“, ale na malé funkce, které nikdo nepovažuje za kritické. Typicky jde o kontaktní formuláře, upload souborů, přihlašovací stránky, API endpointy nebo napojení na třetí strany. Pokud má web jakýkoli vstup od uživatele, musí se s ním zacházet jako s potenciálně nebezpečným.

Na co si dát pozor v praxi

  • Upload souborů – kontrola typu, velikosti a názvu souboru, zákaz spustitelných formátů.
  • Formuláře – ochrana proti spamu, rate limiting, honeypot, reCAPTCHA nebo hCaptcha.
  • SQL injection a XSS – parametrizované dotazy, escapování výstupů, validace vstupů.
  • API klíče – nikdy neukládat do veřejného repozitáře, používat environment proměnné.
  • Admin rozhraní – změna výchozí URL, 2FA, omezení pokusů o přihlášení.

U vývoje na Next.js, Jamstacku nebo headless CMS je bezpečnost často lepší než u klasického webu, ale ne automaticky. Rizikem bývá špatně zabezpečené API, přístupové tokeny v klientském kódu nebo nechráněné serverless funkce. Pokud je frontend oddělený od backendu, musíte chránit obě vrstvy.

Velmi častá chyba je také používání stejných přístupů pro staging a produkci. Když se testovací prostředí indexuje nebo je veřejně dostupné bez omezení, může se stát jednoduchým cílem pro útok i zdrojem úniku dat.

Bezpečnost, SEO a reputace: co se stane, když web napadnou

Napadený web není jen technický problém. Má přímý dopad na viditelnost ve vyhledávání, důvěru uživatelů i výkon kampaní. Google může zobrazit varování „Tento web může být napaden“ nebo „Tento web může poškodit váš počítač“, což dramaticky sníží prokliky. U e-shopu nebo lead generation webu to znamená okamžitý propad konverzí.

Bezpečnost souvisí i s Core Web Vitals a stabilitou webu. Napadený nebo přetížený web bývá pomalý, generuje chyby, vrací 5xx statusy a zhoršuje crawl budget. Pokud boty vyhledávačů opakovaně narážejí na chyby, může dojít k dočasnému omezení indexace nebo k poklesu důvěryhodnosti stránek.

Praktická obrana proto zahrnuje i SEO monitoring:

  • Google Search Console – sledujte bezpečnostní problémy, ruční zásahy a indexační chyby.
  • Logy serveru – hledejte neobvyklé přístupy, skenování a opakované pokusy o přihlášení.
  • Uptime a performance monitoring – výpadky a zpomalení jsou často první signál útoku.
  • Kontrola změn v obsahu – neočekávané odkazy, vložené skripty nebo spamové stránky.

Pro větší weby má smysl nastavit alerty na změny v šablonách, databázi i sitemapě. Pokud se v indexu objeví tisíce nových spamových URL, je potřeba jednat okamžitě: zablokovat zdroj, odstranit škodlivý obsah, požádat o opětovné procházení a zkontrolovat, zda je problém skutečně pryč.

Jak nastavit bezpečnostní rutinu, která je udržitelná

Bezpečnostní checklist musí být realistický. Když je příliš složitý, tým ho přestane dodržovat. Lepší je jednoduchý systém s jasnou odpovědností a pravidelným rytmem.

Doporučený provozní model

  • Jednou týdně kontrola aktualizací, logů a stavu záloh.
  • Jednou měsíčně audit uživatelských účtů, pluginů a přístupů třetích stran.
  • Jednou za čtvrtletí test obnovy ze zálohy na staging prostředí.
  • Průběžně sledování alertů z hostingu, WAF a Search Console.

Pro firmy s více weby je ideální vytvořit jednoduchou bezpečnostní politiku: kdo schvaluje pluginy, kdo má administrátorský přístup, kde jsou zálohy, jak probíhá obnova a kdo komunikuje incident navenek. V krizové situaci totiž nerozhodují jen technologie, ale hlavně rychlost a jasný postup.

Pokud chcete začít hned, zaměřte se na tři kroky s nejvyšším dopadem: zapněte 2FA pro administraci, nastavte denní off-site zálohy a odstraňte všechny nepoužívané pluginy a účty. Tyto tři změny samy o sobě sníží riziko většiny běžných útoků výrazně víc než kosmetické úpravy v administraci.

Web, který je bezpečný, bývá zároveň stabilnější, rychlejší a důvěryhodnější. A právě to dnes rozhoduje nejen o ochraně dat, ale i o tom, zda vás zákazník najde, klikne a dokončí akci bez obav.