Bezpečnost webových stránek – checklist pro firmy

Bezpečnost webových stránek je soubor technických a organizačních opatření, která chrání web, data zákazníků a pověst firmy před napadením, únikem dat a výpadkem. Malé firmě stačí zvládnout základ: aktualizace, silné přihlášení s 2FA, HTTPS, zálohy a monitoring. Většina útoků je automatizovaná a míří na zanedbané weby, ne na konkrétní firmu.

Ve zkratce:

• Nejčastější vstupní branou jsou neaktualizované pluginy a šablony, ne samotný redakční systém.
• Dvoufaktorové ověření a unikátní hesla zastaví útoky postavené na ukradeném nebo uhodnutém hesle.
• Záloha má smysl, jen pokud jste z ní web někdy zkusili obnovit.
• Checklist níže projdete za jedno odpoledne; potom jde hlavně o pravidelnost.

Proč řešit bezpečnost webových stránek i u malého webu

Útočníci si weby obvykle nevybírají ručně. Roboti nepřetržitě procházejí internet a hledají známé zranitelnosti, slabá hesla a zapomenuté instalace. Malý prezentační web je pro ně stejně užitečný jako e-shop: poslouží k rozesílání spamu, ke skrytým SEO odkazům nebo k šíření malwaru.

Potvrzují to i data. Podle zprávy Patchstack State of WordPress Security in 2026 bylo v roce 2025 v ekosystému WordPressu nahlášeno 11 334 nových zranitelností, o 42 % více než rok předtím. 91 % z nich bylo v pluginech, 9 % v šablonách a v samotném jádru WordPressu jen 6 méně závažných. Téměř polovina (46 %) neměla v době zveřejnění opravu a nejvíce cílené chyby začali útočníci hromadně zneužívat v mediánu už po pěti hodinách.

Následky nejsou jen technické: Google může web označit jako nebezpečný, návštěvnost z vyhledávání padá a při úniku osobních údajů máte povinnosti podle GDPR.

Nejčastější hrozby pro firemní web

Žebříček rizik OWASP Top 10 (2025) vedou chybné řízení přístupu a chybná konfigurace. Nově v něm je selhání dodavatelského řetězce softwaru (Software Supply Chain Failures) – u běžného webu právě pluginy, šablony a knihovny třetích stran.

Checklist: bezpečnost webových stránek v 15 bodech

Co nevíte, si poznamenejte a zeptejte se správce webu nebo hostingu.

Aktualizace a software

1. 1Aktualizujte jádro, pluginy i šablony alespoň jednou týdně, bezpečnostní opravy hned. Proč na bezpečnostních záplatách tolik záleží, vysvětluje slovník.
2. 2Odstraňte nepoužívané pluginy a šablony. Vypnutý plugin na serveru pořád leží a dá se zneužít. U nových sledujte, kdy byly naposledy aktualizované.
3. 3Používejte podporovanou verzi PHP. K říjnu 2026 dostávají opravy verze 8.2 (bezpečnostní podpora do 31. 12. 2026), 8.3, 8.4 a 8.5. WordPress doporučuje PHP 8.3 a novější.

Přístupy a hesla

1. 1Dlouhá unikátní hesla ve správci hesel. Americký standard NIST SP 800-63B-4 požaduje u hesla, které je jediným faktorem, nejméně 15 znaků a pravidelnou změnu nevyžaduje – heslo měňte, když hrozí jeho únik.
2. 2Zapněte [dvoufaktorové ověření (2FA)](/slovnik/dvoufaktorova-autentifikace-2fa) do administrace, k hostingu, u registrátora domény a v e-mailu. Kdo ovládne e-mail, resetuje si všechna ostatní hesla.
3. 3Každý má vlastní účet s nejnižším potřebným oprávněním. Redaktor nepotřebuje práva administrátora. Účty bývalých zaměstnanců a dodavatelů hned rušte.
4. 4Omezte pokusy o přihlášení (limit pokusů, CAPTCHA, u interních systémů omezení podle IP adresy).

Šifrování a server

1. 1HTTPS na celém webu a automatická obnova certifikátu. Od března 2026 se maximální platnost veřejných TLS certifikátů postupně zkracuje až na 47 dní v roce 2029, ruční obnova tedy přestává dávat smysl. Chrome 154 (říjen 2026) navíc ve výchozím nastavení varuje před první návštěvou veřejného webu bez HTTPS. Více o SSL a HTTPS ve slovníku.
2. 2Nastavte bezpečnostní HTTP hlavičky: HSTS, Content-Security-Policy, X-Content-Type-Options a frame-ancestors proti vkládání webu do cizích rámců. Stav ověříte nástrojem HTTP Observatory od Mozilly (MDN).
3. 3Hosting s oddělením webů, firewallem a skenováním malwaru. Levný sdílený hosting bez izolace ohrožuje i dobře udržovaný web. Na co se dívat, popisujeme v článku jak vybrat webhosting a doménu. Ochrana na straně hostingu ale aktualizace nenahradí: v testech Patchstacku zachytila jen menšinu útoků zaměřených na WordPress.

Zálohy a obnova

1. 1Automatické zálohy podle pravidla 3-2-1: tři kopie dat, na dvou typech úložiště, jedna mimo server. Zálohování dat u e-shopu nastavte denně, u prezentačního webu stačí týdně a po každé větší změně.
2. 2Jednou za čtvrtletí vyzkoušejte obnovu na testovací kopii. Záloha, kterou nikdo neumí obnovit, je jen pocit bezpečí.

Data a formuláře

1. 1Sbírejte jen data, která potřebujete, formuláře chraňte proti spamu (honeypot, CAPTCHA) a staré poptávky a exporty objednávek z webu pravidelně mažte. Méně dat znamená menší škodu při úniku.

Monitoring a kontrola

1. 1Hlídejte dostupnost a varování. Nastavte monitoring výpadků a v Google Search Console sledujte Přehled bezpečnostních problémů, kde Google hlásí napadený obsah, malware nebo podvodné stránky.
2. 2Jednou ročně udělejte bezpečnostní kontrolu. U e-shopu, klientské zóny nebo webové aplikace zvažte penetrační test od specialisty.

Co dělat, když je web napadený

1. 1Nemažte nic naslepo. Web dočasně vypněte nebo přepněte do režimu údržby a uložte si kopii napadeného stavu pro analýzu.
2. 2Změňte všechna hesla – administrace, hosting, SFTP, databáze, e-mail – a odhlaste všechny aktivní relace.
3. 3Kontaktujte hosting. Z jeho logů se často pozná, kudy útočník přišel.
4. 4Obnovte web z čisté zálohy z doby před napadením, nebo ho nechte vyčistit. Pak hned aktualizujte vše zastaralé, jinak se útok zopakuje.
5. 5Požádejte Google o kontrolu v Search Console, pokud web označil jako nebezpečný.
6. 6Vyhodnoťte únik osobních údajů. Pokud porušení zabezpečení pravděpodobně představuje riziko pro dotčené osoby, musíte ho podle článku 33 GDPR do 72 hodin od zjištění ohlásit Úřadu pro ochranu osobních údajů.

Týká se vás zákon o kybernetické bezpečnosti?

Od 1. listopadu 2025 platí v Česku nový zákon o kybernetické bezpečnosti, který přebírá směrnici NIS2. Dopadá na tisíce organizací, hlavně středních a větších firem ve vybraných odvětvích; dozor vykonává NÚKIB a každá organizace si má sama ověřit, zda pod zákon spadá. Malé firmy s prezentačním webem řeší hlavně GDPR.

Co zvládnete sami a kdy přizvat odborníka

Pokud web vydělává nebo přináší poptávky, domluvte si údržbu dřív, než se něco stane. V rámci správy webu (od 60 € měsíčně bez DPH) zajišťujeme aktualizace s testováním, zálohy mimo server, monitoring dostupnosti a bezpečnostní nastavení. Zda vám stačí WordPress, rozebíráme v článku proč WordPress stačí většině firemních webů. Máte podezření na napadení nebo chcete prověřit současný stav? Popište nám situaci přes kontaktní formulář.