Dlaczego bezpieczeństwo hostingu zaczyna się zanim podasz numer karty
Realne obawy: nie chodzi tylko o numer karty
Chwila, w której wpisujesz numer karty, to moment zaufania. W praktyce ryzykujesz nie tylko pieniędzmi, ale też reputacją, czasem i spokojem. Niebezpieczny lub byle jaki hosting może oznaczać:
- kradzież danych karty lub ich niewłaściwe przechowywanie przez pośrednika płatności,
- wyciek danych klientów (formularze kontaktowe, loginy, dane zamówień),
- utrata strony po awarii lub ataku – bez kopii i bez realnej pomocy,
- szantaż dostępem: blokada panelu, dopóki nie dopłacisz za „ręczną pomoc” lub „odzyskanie danych”,
- masowe infekcje na poziomie serwera – Twoja strona jest czysta, ale ktoś na tym samym serwerze ją „ciągnie w dół”.
Przy pierwszym hostingu łatwo założyć, że „wszyscy działają podobnie”, a różni ich głównie cena i ilość GB. Po pierwszej większej awarii lub włamaniu perspektywa zmienia się o 180 stopni: nagle to, jak działa wsparcie, jakie są kopie bezpieczeństwa i gdzie stoją serwery, staje się ważniejsze niż dodatkowe 10 GB na pocztę.
Tanio a podejrzanie tanio – gdzie powinna zapalić się lampka
Konkurencja w hostingach jest ostra, więc promocje i niskie ceny są normalne. Problem zaczyna się tam, gdzie cena jest kompletnie oderwana od realiów. Jeżeli widzisz ofertę typu „nielimitowany SSD, nielimitowane domeny, profesjonalne wsparcie 24/7” za ułamek tego, co proponują znani dostawcy, coś tu nie gra.
Różnica między „tanie” a „podejrzanie tanie” najczęściej wynika z następujących obszarów:
- brak realnego wsparcia – odpowiedź na ticket po kilku dniach lub wcale,
- przeładowane serwery – dziesiątki lub setki kont na jednym, przeciążonym VPS-ie,
- oszczędności na backupach – kopie robione rzadko lub w ogóle, bez testów odtwarzania,
- brak procedur bezpieczeństwa – wszystko „na słowo honoru”, bez standardów.
Niska cena nie jest sama w sobie problemem. Problemem jest brak wyjaśnienia, skąd się bierze. Uporządkowana firma często jasno komunikuje: niższa cena, bo np. brak telefonicznej infolinii, ale dobry support ticketowy; mniej „bajerów”, ale solidna infrastruktura. Gdy opis oferty przypomina kolorową ulotkę bez konkretów – powód do ostrożności.
Co faktycznie może pójść źle – scenariusze z praktyki
Najczęstsze kryzysy związane z nieprzemyślanym wyborem hostingu wyglądają podobnie. Kilka scenariuszy, które powtarzają się na forach i w grupach:
- Firma znika z dnia na dzień – strona dostawcy przestaje działać, panele logowania milczą, nikt nie odbiera maili. Twoja strona i poczta leżą, a Ty nie masz ani backupu, ani kontaktu.
- Masowe zainfekowanie stron – ktoś na wspólnym serwerze ma dziurawy CMS, atak idzie „po sąsiadach”. Hosting nie ma separacji kont, więc złośliwy kod ląduje też u Ciebie. Z Google Search Console przychodzą powiadomienia o malware, ruch spada, reputacja domeny leży.
- Szantaż przez brak procedur – po włamaniu hosting sugeruje płatną, drogą „analizę bezpieczeństwa”, bez której nic nie zrobi. Regulamin mówi jasno: za dane nie odpowiadają. Legalnie – nic nie wywalczysz.
W tle tych historii niemal zawsze jest ten sam wniosek: nikt wcześniej nie sprawdził dostawcy pod kątem bezpieczeństwa. Decyzję determinowała cena, zniżka lub pierwsza reklama z Google Ads.
Krótki przykład z życia
Typowa sytuacja: freelancer zakłada pierwszą stronę dla klienta. Wyszukuje „tani hosting WordPress”, klika pierwszy wynik z dopiskiem „-70% na start”. Opis wygląda zachęcająco, więc od razu kupuje roczny pakiet. Przez kilka tygodni wszystko działa. Gdy strona zaczyna zbierać pierwsze leady, pojawia się problem – hosting ma wielogodzinną awarię. Brak informacji na stronie, brak odpowiedzi z supportu. Po kilku dniach sytuacja się powtarza. Po miesiącu dostawca znika, a razem z nim panel logowania i wszystkie pliki. Backup? Nigdy nie był robiony poza serwerem.
To nie jest historia o „oszustach z internetu”, tylko o braku schematu weryfikacji. Wystarczyło kilka prostych kroków (sprawdzenie firmy, regulaminu, backupów, opinii), żeby uznać, że to nie jest miejsce, któremu warto powierzać dane klientów.
Hosting to nie tylko serwer – to ludzie, procesy i odpowiedzialność
Bezpieczny hosting to zaufanie do całego ekosystemu:
- infrastruktury – serwerów, sieci, data center, zabezpieczeń fizycznych,
- ludzi – administratorów, zespołu wsparcia, właścicieli firmy,
- procedur – reagowania na incydenty, backupów, zmian w infrastrukturze,
- formalności – regulaminów, umów, kwestii RODO, transparentnej komunikacji.
Sam „ładny” panel czy automatyczny instalator WordPressa to tylko wierzchołek góry lodowej. Bez stabilnego fundamentu bezpieczeństwa każda awaria lub atak może skończyć się nieproporcjonalnie dużym problemem – szczególnie gdy na hostingu trzymasz dane klientów lub biznes, który przynosi realny dochód.
Fundamenty bezpiecznego hostingu – co oznacza „bezpieczny” w praktyce
Trzy filary bezpieczeństwa: infrastruktura, dane, płatności
Żeby rozsądnie ocenić bezpieczeństwo hostingu, dobrze rozłożyć je na trzy podstawowe obszary:
- bezpieczeństwo infrastruktury – jak są zabezpieczone serwery, sieć, centrum danych, jakie są mechanizmy obrony przed atakami,
- bezpieczeństwo danych – jak są chronione pliki, bazy, poczta, backupy, kto ma do nich dostęp,
- bezpieczeństwo płatności i kont – jak chronione są loginy, hasła, dane karty (przez operatora płatności), jak wygląda autoryzacja.
Każdy z tych filarów można zweryfikować, zanim podasz kartę. Dostawca, który ma coś sensownego do pokazania, nie zasłania się marketingowym bełkotem, tylko wyjaśnia konkretnie: co, jak i gdzie jest zabezpieczone.
Bezpieczeństwo hostingu vs bezpieczeństwo Twojej strony
Hosting nie naprawi dziurawego WordPressa i nie sprawi, że nieaktualne wtyczki nagle staną się bezpieczne. Dobrze odróżnić:
- bezpieczeństwo hostingu – to, za co odpowiada dostawca: serwery, sieć, systemy, separacja kont, kopie, ochrona infrastruktury,
- bezpieczeństwo aplikacji – to, za co odpowiadasz Ty (lub Twój developer): aktualizacje, silne hasła, konfiguracja, brak pirackich motywów, sensowne wtyczki.
Nawet najlepszy hosting nie pomoże, jeśli hasło do WordPressa brzmi „admin123”, a panel logowania jest publicznie dostępny pod /wp-admin bez żadnych dodatkowych zabezpieczeń. Z drugiej strony, możesz mieć perfekcyjnie zabezpieczony CMS, ale na słabym hostingu infekcja „przyleci” po sąsiednich kontach lub z powodu braku patchy na poziomie serwera.
Jak rozpoznać marketingowy bełkot od realnych zabezpieczeń
Na stronach wielu firm hostingowych pojawiają się hasła typu „super secure”, „enterprise-level security”, „pełna ochrona przed atakami”. Treść ma robić wrażenie, ale często nie wynika z niej absolutnie nic. Przydatna metoda to zadanie sobie kilku pytań:
- Czy hosting konkretnie wymienia technologie? (np. firewall aplikacyjny, IDS/IPS, separacja kont, backupy off-site)
- Czy są podane częstotliwości backupów i czas ich przechowywania?
- Czy opisano warianty ochrony przed DDoS (np. filtracja ruchu, współpraca z dostawcą typu Cloudflare/Arbor)?
- Czy pojawia się informacja o aktualizowaniu systemów, kernelu, paneli administracyjnych?
Jeżeli akapit o bezpieczeństwie sprowadza się do jednego zdania „Stosujemy najnowocześniejsze zabezpieczenia” – nie wiesz nic. Solidny dostawca potrafi w kilku akapitach precyzyjnie opisać, co robi na poziomie serwera, sieci i data center.
Minimalny poziom bezpieczeństwa – co jest „must have”
Nawet w najtańszym pakiecie hostingowym można oczekiwać kilku podstawowych elementów:
- certyfikaty SSL/TLS (np. Let’s Encrypt) z automatycznym odnawianiem,
- dostęp SFTP (zamiast czystego FTP) oraz szyfrowane protokoły poczty (IMAPS/SMTPS),
- separacja kont na hostingu współdzielonym (chroot/CageFS lub podobny mechanizm),
- regularne kopie zapasowe (minimum raz dziennie, z możliwością samodzielnego przywracania),
- aktualizowana platforma – aktualne wersje PHP, wsparcie dla HTTP/2 lub nowszych protokołów,
- jakakolwiek forma ochrony anty-DDoS, choćby podstawowa na poziomie dostawcy łącza.
Brak któregoś z tych elementów w 2020+ roku to wyraźny sygnał, że czas spojrzeć w stronę innego dostawcy, nawet jeśli oferta wygląda kusząco cenowo.
Jak te fundamenty czujesz w codziennym użyciu
Bezpieczny hosting daje się rozpoznać po codziennych drobiazgach:
- logowanie do panelu odbywa się wyłącznie po HTTPS, najlepiej z możliwością włączenia 2FA,
- w panelu widzisz jasne sekcje związane z bezpieczeństwem (zarządzanie certyfikatami, dostępami, IP),
- zmiana hasła wymaga silnego, złożonego hasła – panel go nie przepuści, jeśli jest zbyt słabe,
- komunikaty o planowanych pracach i aktualizacjach są wysyłane z wyprzedzeniem,
- support reaguje sensownie na pytania o bezpieczeństwo – nie zbywa Cię, tylko mówi konkretnie, jak coś działa.
Dobrze zbudowana usługa zwykle „po prostu działa”, a Ty rzadko zaglądasz do panelu. Bezpieczny hosting zdradza się tym, że gdy już zajrzysz – nie trafiasz na chaos, tylko logiczne narzędzia, powiązane z ochroną Twoich danych.
Wiarygodność dostawcy – zanim klikniesz „Kup teraz”
Sprawdzenie podstaw: dane firmy, staż, forma prawna
Ocena bezpieczeństwa hostingu zaczyna się od czegoś przyziemnego: kto stoi za tą usługą. Kilka punktów kontrolnych przed podaniem numeru karty:
- Czy na stronie są pełne dane firmy (nazwa, adres, NIP, KRS lub odpowiednik, email, numer telefonu)?
- Da się je zweryfikować w publicznych rejestrach (CEIDG, KRS, odpowiedniki zagraniczne)?
- Od kiedy firma oficjalnie istnieje i od kiedy oferuje hosting?
- Czy to spółka (z zazwyczaj wyższym poziomem formalizacji) czy działalność jednoosobowa (nie jest to wadą, ale wymaga dodatkowego spojrzenia)?
Brak formalnych danych, jedynie formularz contact form i marketingowe hasła bez adresu czy NIP-u – to czerwona flaga. Nawet mały, jednoosobowy hosting może działać profesjonalnie, ale wtedy właściciel zwykle nie chowa się przed klientami.
Reputacja w sieci – gdzie szukać opinii, które coś znaczą
Opinie w stylu „super hosting, 5/5” na stronie dostawcy mają ograniczoną wartość. Pełniejszy obraz można zbudować, łącząc kilka źródeł:
- fora webmasterów i adminów – tam pojawiają się konkrety: jak hosting reaguje na awarie, jak wygląda support techniczny,
- grupy na Facebooku / LinkedIn dla twórców stron, e-commerce, freelancerów – tu często znajdziesz świeże historie z pierwszej ręki,
- niezależne portale z rankingami wraz z komentarzami użytkowników (trzeba je oczywiście czytać krytycznie),
- historia w Google – wyszukaj nazwę firmy + „awaria”, „bezpieczeństwo”, „włamanie”, „problem”, „oszustwo”.
Jedna negatywna opinia to nie wyrok. Warto patrzeć na powtarzające się schematy: brak reakcji na awarie, ignorowanie zgłoszeń dotyczących bezpieczeństwa, znikające strony bez wyjaśnień. Jeśli taki motyw przewija się przez lata – ryzyko rośnie.
Sygnały ostrzegawcze: z czym nie ryzykować
Oferty, przy których lepiej zatrzymać się na dłużej, zwykle mają kilka wspólnych cech:
- skrajnie agresywne promocje bez jasnych warunków („hosting za 1 zł na rok”), gdzie dopiero w regulaminie wychodzą drogie odnowienia lub opłaty dodatkowe,
- brak przejrzystego cennika – musisz „napisać po ofertę” lub ceny pojawiają się dopiero po założeniu konta,
- ciągłe zmiany właściciela lub nazwy marki, o których dowiadujesz się z plotek, a nie oficjalnych komunikatów,
- ucieczka od odpowiedzialności w opiniach – odpowiedzi w stylu „to nie nasza wina, tylko klient źle korzystał”, bez próby rozwiązania problemu,
- brak informacji o data center lub mgliste zapewnienia typu „własna serwerownia klasy enterprise”, ale bez żadnych konkretów.
Jeśli coś intuicyjnie „zgrzyta” – poświęć godzinę na dodatkowy research lub testy na miesięcznym planie zamiast od razu kupować kilkuletni pakiet z góry. Stracisz chwilę, ale oszczędzisz sobie nerwów i migracji w najgorszym możliwym momencie.
Dobrym filtrem jest proste pytanie zadane supportowi, np. o politykę backupów albo procedurę w razie włamania. Profesjonalny dostawca odpowie konkretnie, nawet jeśli przyzna, że czegoś nie oferuje. Jeśli zamiast tego dostajesz gotowce z marketingu lub ogólniki, masz jasny sygnał, że bezpieczeństwo jest tam tylko sloganem sprzedażowym.
Kiedy wybierasz hosting z myślą o bezpieczeństwie, decyzja staje się spokojniejsza. Zamiast liczyć, że „jakoś to będzie”, opierasz się na listach kontrolnych, sprawdzalnych faktach i jasnych procedurach. Numer karty wpisujesz wtedy nie z duszą na ramieniu, tylko z poczuciem, że zrobiłeś sensowny research i minimalizujesz ryzyko, na które masz wpływ.
Regulamin, umowy i RODO – nudne rzeczy, które później ratują skórę
Regulamin hostingu jak instrukcja bezpieczeństwa
Regulamin zwykle czyta się dopiero wtedy, gdy coś się posypie. Znacznie spokojniej działa się odwrotnie: przeglądasz kluczowe punkty zanim podasz numer karty. Najważniejsze fragmenty to:
- zakres odpowiedzialności dostawcy – za co firma bierze odpowiedzialność, a co zrzuca na klienta,
- warunki wypowiedzenia umowy – jak szybko możesz się „ewakuować” i co dzieje się z danymi,
- polityka backupów – czy jest częstotliwość, retencja, opis przywracania i ewentualne koszty,
- limity i „fair use” – czy pod „nielimitowanym” nie kryje się ograniczenie, które zablokuje Ci stronę w chwili większego ruchu,
- procedura blokady konta – kiedy hosting może Ci wyłączyć usługę i w jakim trybie.
Jeśli regulamin jest napisany tak, że praktycznie za nic nie biorą odpowiedzialności, mogą w dowolnej chwili zablokować usługę i jeszcze kasują za przywrócenie danych – to sygnał ostrzegawczy. Drobny druk potrafi boleć dopiero przy pierwszej awarii.
Umowa powierzenia danych osobowych (RODO) – bez tego ani rusz przy danych klientów
Jeżeli na hostingu przetwarzasz dane osobowe (np. w sklepie, newsletterze, formularzach kontaktowych), dostawca staje się procesorem danych. W praktyce oznacza to, że powinna z nim zostać zawarta umowa powierzenia przetwarzania danych (DPA). Dobrze przygotowany hosting:
- udostępnia wzór umowy online, najczęściej jako załącznik do regulaminu,
- opisuje, jakie dane są przetwarzane i w jakim celu,
- wymienia środki techniczne i organizacyjne (szyfrowanie, kontrola dostępu, logowanie działań administratorów),
- określa zasady podpowierzenia – komu dostawca może dalej powierzać dane (np. operatorowi serwerowni, chmurom).
Brak gotowej umowy lub odpowiedzi w stylu „RODO nas nie dotyczy” przy hostingu stron z danymi klientów to czerwona flaga. Umowa powierzenia to nie nadgorliwość prawnicza, tylko realne zabezpieczenie, gdy np. dojdzie do wycieku danych z winy hostingu.
Gdzie fizycznie trafiają dane – lokalizacja a prawo
RODO nie kończy się na checkboxie „akceptuję politykę prywatności”. Znaczenie ma to, gdzie realnie leżą dane. Kluczowe pytania do hostingu:
- W jakim kraju znajdują się serwery, na których będzie Twoje konto?
- Czy dane mogą być replikowane poza EOG (np. do USA, Azji) w ramach backupów lub CDN?
- Czy dostawca wymienia podmioty trzecie, które też mogą mieć dostęp do danych (operatorzy DC, dostawcy usług chmurowych)?
Jeśli działasz w UE i przetwarzasz dane osób z UE, najbezpieczniej trzymać się infrastruktury w Europejskim Obszarze Gospodarczym. Migracja danych poza EOG jest możliwa, ale rodzi dodatkowe formalności i ryzyka, których często możesz po prostu uniknąć, wybierając odpowiednią lokalizację hostingu.
Polityka incydentów – co jeśli „coś wycieknie”
Błędy i włamania zdarzają się nawet najlepszym. Pytanie, jak hosting zareaguje. W dokumentach prawnych lub w polityce bezpieczeństwa poszukaj informacji:
- czy dostawca ma procedurę zgłaszania naruszeń bezpieczeństwa danych osobowych,
- w jakim czasie informuje administratora danych (Ciebie) o incydencie,
- czy pomaga w ustaleniu zakresu naruszenia (jakie dane, ilu użytkowników, od kiedy),
- czy przewidziano formę współpracy przy zgłaszaniu naruszeń do organu nadzorczego.
Brak takiej polityki to sygnał, że w razie kryzysu zostaniesz sam z problemem, tłumacząc się klientom i urzędowi bez wsparcia technicznego ze strony hostingu.
Infrastruktura i centrum danych – gdzie fizycznie lądują Twoje dane
Klasa data center – co oznaczają te wszystkie „Tier” i certyfikaty
Nie musisz być inżynierem, żeby zorientować się, czy dane lądują w sensownym miejscu. Od hostingu możesz oczekiwać przynajmniej kilku konkretów o centrum danych, z którego korzysta:
- klasa niezawodności (np. Tier III, Tier IV lub odpowiednik) – wskazuje, jak projektowany jest poziom dostępności,
- nadmiarowe zasilanie (podwójne linie energetyczne, UPS-y, agregaty prądotwórcze),
- klimatyzacja i systemy przeciwpożarowe (gaszenie gazem, wykrywanie dymu, monitoring),
- fizyczne zabezpieczenia (kontrola dostępu, monitoring wideo, ochrona na miejscu).
Jeżeli opis sprowadza się do „nowoczesna serwerownia klasy enterprise”, bez nazwy obiektu, certyfikatów i podstawowych parametrów – podejdź do tego ostrożnie. Lepiej, gdy dostawca jasno podaje nazwę data center, a Ty możesz samodzielnie sprawdzić jego parametry.
Redundancja – co się stanie, gdy coś padnie
Bezpieczny hosting zakłada, że sprzęt bywa zawodny. Kluczowe pytanie brzmi: co jest zdublowane? Warto dowiedzieć się:
- czy serwery działają w klastrach wysokiej dostępności, czy jako pojedyncze maszyny,
- czy macierze dyskowe mają redundancję (RAID), a nie pojedyncze dyski bez kopii,
- czy są podwójne łącza internetowe od różnych operatorów,
- czy dostępny jest failover między lokalizacjami (przy wyższym budżecie: serwery w dwóch data center).
Mały przykład z życia: przy awarii zasilania w jednym centrum danych serwisy klientów na prostym hostingu „single server” mogą leżeć godzinami. Klienci na rozwiązaniach z replikacją do innej lokalizacji widzą jedynie krótkie spowolnienie. W ofercie zwykle nie widać tej różnicy, dopóki nie zajrzy się pod maskę.
Separacja środowisk – testy, produkcja i staging
Jeżeli rozwijasz większy projekt, przydaje się separacja środowisk. Bezpieczniej pracuje się, gdy hosting pozwala na:
- tworzenie osobnych instancji (np. staging) do testów aktualizacji,
- łatwe klonowanie środowiska produkcyjnego do testów, bez mieszania danych klientów,
- osobne bazy danych i konta użytkowników dla testów i produkcji.
U wielu dostawców da się to zorganizować ręcznie, ale ci, którzy traktują bezpieczeństwo poważnie, oferują dedykowane funkcje stagingu. Zmniejsza to ryzyko, że zmiana „na żywo” wyłoży sklep w środku kampanii sprzedażowej.
Dostęp fizyczny i zdalny – kto może dotknąć Twoich danych
Infrastruktura to nie tylko kable i serwery. Istotne jest, kto ma do nich fizyczny i zdalny dostęp. Dobrze, gdy hosting opisuje:
- procedury autoryzacji dla personelu data center (karty dostępu, rejestr wejść, zasada „dwóch osób”),
- role i uprawnienia dla administratorów systemów – czy każdy admin ma dostęp do wszystkiego, czy są segmenty,
- logowanie działań administracyjnych – rejestrowanie, kto i kiedy zmieniał konfigurację.
Jeżeli w polityce bezpieczeństwa pojawiają się ogólniki, a brak konkretów o kontroli dostępu, łatwo o sytuację, w której „ktoś z obsługi technicznej” może przypadkiem (lub celowo) zajrzeć tam, gdzie nie powinien.
Mechanizmy bezpieczeństwa na poziomie hostingu – co powinno być w pakiecie
Firewall aplikacyjny i filtracja ruchu – pierwsza linia obrony
Dobry hosting nie ogranicza się do prostego firewalla sieciowego. Szukaj informacji o:
- WAF (Web Application Firewall) – filtruje ruch HTTP/HTTPS pod kątem typowych ataków (SQL Injection, XSS, próby enumeracji),
- regułach aktualizowanych na bieżąco – dostosowywanych do nowych zagrożeń,
- filtracji DDoS – choćby podstawowej, najlepiej uzupełnionej współpracą z zewnętrznym dostawcą anty-DDoS.
Nie chodzi o to, żebyś sam ustawiał reguły iptables. Ale informacje typu „inteligentna ochrona aplikacji webowych z aktualizowaną bazą sygnatur” wraz z prostym opisem, jak to działa – dają obraz, że ktoś realnie dba o ruch przychodzący.
Izolacja kont i procesów – sąsiad nie powinien zarażać
Na hostingu współdzielonym bezpieczeństwo zależy mocno od tego, jak bardzo naprawdę jest „współdzielony”. Dopytaj lub sprawdź, czy:
- używany jest mechanizm typu CageFS/chroot, który izoluje każde konto użytkownika,
- PHP i inne skrypty działają jako użytkownik danego konta, a nie wspólny użytkownik systemowy,
- serwer blokuje możliwość podglądania cudzych katalogów czy plików konfiguracyjnych.
Bez tych zabezpieczeń sytuacja, w której słabo zabezpieczona strona sąsiada staje się bramą do Twojego konta, nie jest niczym niezwykłym. Dobrze zaprojektowana separacja kont mocno zmniejsza to ryzyko.
Automatyczne skanowanie malware – antywirus dla serwera
Ręczne przeglądanie każdego pliku po włamaniu to droga przez mękę. Pomaga, gdy hosting oferuje:
- regularne skanowanie plików pod kątem sygnatur malware (np. raz dziennie lub częściej),
- izolowanie podejrzanych plików (kwarantanna) zamiast od razu kasować,
- raporty i powiadomienia na maila o wykryciu zainfekowanych plików.
Nie jest to magiczne lekarstwo – sprytne ataki potrafią obejść standardowe skanery. Ale w praktyce wiele prostych infekcji (wstrzyknięte backdoory, znane webshelle) da się wychwycić właśnie takimi mechanizmami.
Backupy, które da się przywrócić – nie tylko marketingowe hasło
Kopia zapasowa istnieje dopiero wtedy, gdy da się ją realnie przywrócić. W kontekście bezpieczeństwa dopytaj o kilka kwestii:
- częstotliwość kopii – im bliżej codziennych snapshotów, tym mniej tracisz przy rollbacku,
- retencja – ile dni/tygodni wstecz możesz się cofnąć (ważne przy „cichych” infekcjach),
- lokalizacja backupów – czy są przechowywane off-site, w innej lokalizacji lub chmurze,
- samodzielne przywracanie – czy z poziomu panelu możesz odtworzyć pliki/bazy bez kontaktu z supportem.
Częsta sytuacja z praktyki: infekcja siedzi na stronie tygodniami, a objawia się dopiero, gdy Google oznaczy stronę jako niebezpieczną. Jeśli backup trzymany jest tylko przez 3 dni, sensowne przywrócenie „czystej” wersji bywa niemożliwe.
Zarządzanie dostępem – konta, logi, dwuskładnikowe logowanie
Bezpieczny hosting nie kończy się na firewallu. Duży wpływ ma to, jak możesz zarządzać dostępami do panelu i kont.
- 2FA (uwierzytelnianie dwuskładnikowe) do panelu klienta i panelu administracyjnego (np. cPanel, Plesk),
- role i uprawnienia – przy kilku osobach w zespole możliwość nadania im różnych zakresów dostępu,
- logi logowań i działań – historia, kto się logował, z jakiego IP i co zmieniał.
Jeżeli współpracujesz z freelancerem lub agencją, osobne konta są dużo bezpieczniejsze niż jedno hasło krążące po mailach i komunikatorach. Przy ewentualnym konflikcie czy zmianie wykonawcy możesz po prostu cofnąć dostęp.
Bezpieczeństwo poczty – phishing często zaczyna się na e-mailu
Jeśli hosting obsługuje też pocztę, przyjrzyj się jej zabezpieczeniom. Istotne są:
- szyfrowane protokoły (IMAPS, SMTPS, POP3S) jako standard,
- obsługa SPF, DKIM i DMARC – pomagają ograniczyć podszywanie się pod Twoją domenę,
- filtr antyspamowy z możliwością konfiguracji (białe/czarne listy, kwarantanna).
- ochrona przed nietypowym ruchem z konkretnych krajów czy sieci – możliwość blokowania lub ograniczania połączeń z podejrzanych źródeł.
Przy atakach phishingowych kilka dobrze ustawionych rekordów DNS i sensowny filtr spamu potrafi uratować nie tylko wizerunek marki, ale też realne pieniądze. Gdy klient dostaje fałszywą fakturę „od Twojej firmy”, to właśnie SPF/DKIM/DMARC decydują, czy jego skrzynka ją przepuści, czy wrzuci do spamu.
Jeśli nie czujesz się mocny technicznie, poszukaj hostingu, który oferuje gotowe szablony konfiguracji poczty i wsparcie przy ustawieniu rekordów. Dobrze, gdy w panelu widzisz jasne komunikaty typu „SPF: poprawnie skonfigurowany” zamiast surowych wpisów DNS bez wyjaśnienia. Jeden telefon lub ticket na starcie bywa tańszy niż gaszenie pożaru, gdy spam z Twojej domeny trafi na setki skrzynek.
Dobrym sygnałem jest też to, jak hosting reaguje na zgłoszenia nadużyć (abuse). Operator, który szybko blokuje zainfekowane skrzynki wysyłające spam i pomaga w czyszczeniu, realnie chroni Twoją reputację nadawcy. Ten, który „przyjmie zgłoszenie do wiadomości” i nic z nim nie zrobi, naraża wszystkie domeny na tym samym serwerze.
Aktualizacje po stronie serwera – kiedy „nowe” naprawdę znaczy bezpieczniejsze
Oprogramowanie serwerowe starzeje się tak samo jak wtyczki w Twoim CMS-ie. Różnica jest taka, że masz nad nim mniejszą kontrolę, więc jeszcze ważniejsze jest to, jak podchodzi do niego dostawca hostingu.
Przyglądając się ofercie, zwróć uwagę na kilka sygnałów:
- dostępność aktualnych wersji PHP – nie tylko najnowszej, ale też kilku wspieranych równolegle,
- politykę wsparcia „end of life” – jak długo po zakończeniu wsparcia przez producenta dana wersja jest jeszcze utrzymywana na serwerach,
- aktualizacje usług towarzyszących (baza danych, serwer poczty, serwer WWW) – czy hosting informuje, kiedy planuje podniesienie wersji,
- tryb automatyczny vs. kontrolowany – czy możesz testować nową wersję na osobnej instancji przed przełączeniem produkcji.
Brak aktualizacji po stronie hostingu często mści się po cichu. Luka w starej wersji PHP czy serwera baz danych bywa wykorzystywana masowo, zanim ktokolwiek zauważy nietypowe logi. Z drugiej strony zbyt agresywne aktualizacje bez możliwości testów potrafią „wysypać” działający od lat sklep. Bezpieczny kompromis to dostawca, który jasno komunikuje harmonogram zmian i daje okno do przetesto