CYBERBEZPIECZEŃSTWO 11 min czytania

Bezpieczna strona firmowa: statyczna czy CMS i kto zadba o nią po publikacji?

Strona może być ładna i aktualna, a mimo to stać się furtką do ataku. Budujemy strony z planem ochrony i utrzymania. Sprawdź, jak wybrać technologię.

Większość firm ocenia swoją stronę po tym, jak wygląda i czy klient szybko znajdzie numer telefonu. To ważne, ale nic nie mówi o tym, czy strona jest bezpieczna. Strona może mieć nowoczesny wygląd, aktualny system i kłódkę przy adresie, a mimo to pokazywać odwiedzającym fałszywe komunikaty. Powód jest prosty: dzisiejsze strony rzadko składają się wyłącznie z własnych treści. Prawie zawsze doklejone są do nich gotowe elementy od innych firm: formularz kontaktowy, czat, statystyki odwiedzin, zapis do newslettera. Jeśli ktoś zepsuje taki element u siebie, problem pojawia się na Twojej stronie.

Tak było 14 września 2026 roku. Brevo to popularne narzędzie do wysyłki maili i obsługi formularzy, a jego kod wklejają na swoje strony tysiące firm. Atakujący dostali się do systemu Brevo i przez kilka godzin podmieniali ten kod. Odwiedzający zamiast zwykłego formularza widzieli komunikat o “weryfikacji” i instrukcję, żeby wkleić coś na swoim komputerze, co w rzeczywistości uruchamiało złośliwy program. Na stronach opartych na WordPressie podmieniony kod próbował dodatkowo zainstalować szkodliwy dodatek, jeśli akurat zalogowany był administrator. Właściciele tych stron nie zrobili nic złego. Zaufali cudzemu kodowi, tak jak robi to dziś większość firm.

Kilka pojęć, zanim przejdziemy dalej

Nie trzeba znać się na programowaniu, żeby podejmować dobre decyzje w sprawie własnej strony. Wystarczy rozumieć kilka słów, które pojawią się w tym tekście.

Pojęcie	Co to znaczy w praktyce
CMS, czyli system z panelem (np. WordPress)	Strona z panelem logowania, w którym samodzielnie zmieniasz teksty i zdjęcia
Wtyczka	Gotowy dodatek doklejany do takiego systemu: formularz, galeria, sklep. Tworzy go zwykle ktoś inny niż autor samego systemu
Strona statyczna	Strona zapisana jako gotowe pliki. Nie ma panelu logowania ani bazy danych, zmiany wprowadza osoba, która się nią opiekuje
Luka (podatność)	Błąd w oprogramowaniu, dzięki któremu ktoś obcy może zrobić na stronie coś, czego nie powinien
MFA, czyli logowanie dwuetapowe	Poza hasłem potrzebne jest drugie potwierdzenie, na przykład kod albo zatwierdzenie w telefonie
Kopia zapasowa (backup)	Zapisana wcześniej wersja strony, z której można ją odtworzyć, gdy coś pójdzie nie tak
Domena i DNS	Adres Twojej strony oraz ustawienia, które kierują ten adres na właściwy serwer

Dlaczego zajęliśmy się tworzeniem stron?

Na co dzień pomagamy firmom chronić konta, pocztę, Microsoft 365 i dane. Bardzo często przy okazji trafiamy na stronę, która od lat działa “sama”. Nikt nie pamięta, kto ma do niej dostęp. Firma, która ją zbudowała, dawno skończyła współpracę, ale jej konto administratora nadal działa. Dodatków jest kilkadziesiąt, część nie była aktualizowana od miesięcy, a kopię zapasową “chyba robi firma hostingowa”.

Taka strona nie musi paść ofiarą wyrafinowanego ataku. Wystarczy jeden dziurawy dodatek albo wykradzione hasło, żeby ktoś podmienił formularz kontaktowy, przekierował odwiedzających na stronę wyłudzającą dane albo doklejił kod, który zaraża ich komputery. Dla Twojego klienta nie ma znaczenia, czyja to wina. Widzi Twój adres i Twoje logo.

Dlatego zamiast tylko naprawiać strony po fakcie, zaczęliśmy je budować. Usługa bezpieczne strony internetowe łączy projekt, wykonanie i późniejszą opiekę w jedną całość.

Skąd biorą się problemy ze stronami firmowymi?

Liczby dobrze pokazują, gdzie naprawdę leży ryzyko. Patchstack, firma zajmująca się bezpieczeństwem WordPressa, naliczyła w 2025 roku ponad 11 tysięcy nowych luk, o 42% więcej niż rok wcześniej. Niemal wszystkie dotyczyły wtyczek i motywów graficznych, czyli właśnie dodatków. W samym WordPressie znaleziono tylko kilka drobnych błędów.

Dwie rzeczy z tego raportu są ważne dla właściciela firmy. Po pierwsze, prawie połowa luk stała się publicznie znana, zanim autor wtyczki przygotował poprawkę. Przez pewien czas nie było więc czego instalować. Po drugie, gdy luka jest wykorzystywana masowo, pierwsze próby ataku pojawiają się średnio już po około pięciu godzinach od jej ujawnienia. Programy atakujące przeszukują internet bez przerwy i nie sprawdzają, czy strona należy do dużej korporacji, czy do małego zakładu. Dlatego “zaktualizuję w przyszłym tygodniu” często znaczy “za późno”.

Nie znaczy to, że WordPress jest zły. Sam system jest dziś dobrze pilnowany, a gdy pojawia się poważny błąd, poprawka powstaje szybko, o czym pisaliśmy przy okazji aktualizacji WordPress 7.0.2. Ryzyko rośnie razem z każdym dodatkiem i każdym kontem, którym nikt się nie zajmuje.

Co może pójść nie tak	Jak to wygląda w praktyce	Co temu zapobiega
Ktoś obcy wchodzi do panelu strony	Proste hasło, brak logowania dwuetapowego albo wciąż aktywne konto dawnego wykonawcy	Logowanie dwuetapowe, przegląd kont, usuwanie niepotrzebnych dostępów
Nieaktualne dodatki	Znany błąd we wtyczce lub motywie czeka, aż ktoś go wykorzysta	Mniej dodatków, ustalony termin aktualizacji, sprawdzenie zmian przed publikacją
Podmieniony kod innej firmy	Formularz, czat albo statystyki zostają zmienione u dostawcy, tak jak w przypadku Brevo	Spis wszystkich takich elementów i ograniczenie ich do naprawdę potrzebnych
Zmienione treści i formularze	Strona przekierowuje klientów gdzie indziej albo wyłudza od nich dane	Regularne sprawdzanie, czy strona i formularze działają tak, jak powinny
Kopia, której nikt nie sprawdził	Backup gdzieś jest, ale nikt nigdy nie próbował odtworzyć z niego strony	Kopia dopasowana do strony i próbne przywrócenie raz na jakiś czas

Strona statyczna czy system z panelem?

To pierwsze pytanie, które zadajemy klientowi, i nie ma na nie jednej dobrej odpowiedzi. Oba rozwiązania mogą być bezpieczne. Różnią się tym, jak zmienia się na nich treści i ile rzeczy trzeba potem pilnować.

Strona statyczna to gotowe pliki leżące na serwerze, trochę jak wydrukowany katalog: odwiedzający dostaje dokładnie to, co wcześniej przygotowaliśmy. Nie ma panelu logowania ani bazy danych, więc nie ma też panelu, do którego ktoś mógłby się włamać, ani kilkudziesięciu dodatków do aktualizowania. To dobry wybór dla strony firmowej, prezentacji usług czy pojedynczej strony ofertowej, gdy treści zmieniają się raz na jakiś czas. Minus: zmiana tekstu wymaga ustalonej drogi, zwykle przez osobę, która opiekuje się stroną, albo przez prosty edytor dodany specjalnie w tym celu.

System z panelem, na przykład WordPress, ma sens, gdy kilka osób regularnie dodaje aktualności, wpisy czy nowe oferty. Panel i uprawnienia pozwalają zespołowi pracować bez programisty. Ceną za tę wygodę jest stała opieka: system, motyw, wtyczki, serwer i konta trzeba aktualizować i kontrolować przez cały czas, gdy strona działa.

Pytanie	Raczej strona statyczna	Raczej system z panelem
Jak często zmieniacie treści?	Kilka razy w miesiącu lub rzadziej	Co tydzień lub częściej
Kto wprowadza zmiany?	Jedna osoba albo firma opiekująca się stroną	Kilka osób z zespołu
Czy potrzebujecie bloga, aktualności, katalogu?	Nie albo w niewielkim zakresie	Tak, to ważna część strony
Kto będzie pilnował aktualizacji?	Jest tego mniej, ale ktoś nadal musi być wskazany	Musi być wskazana konkretna osoba lub firma
Co jest dla Was ważniejsze?	Prostota i szybkość działania	Samodzielna, wygodna edycja treści

Jedna ważna uwaga: strona statyczna nie jest bezpieczna sama z siebie. Nadal trzeba zadbać o domenę, serwer, formularze i cudzy kod doklejony do strony. Sytuacja z Brevo dotknęłaby również stronę statyczną, gdyby był na niej osadzony podmieniony formularz.

Jak w praktyce ograniczamy ryzyko?

Nie rezygnujemy z narzędzi, których firma naprawdę potrzebuje. Pilnujemy natomiast, żeby na stronie nie było niczego ponad to. Każdy dodatkowy element i każde konto to kolejna rzecz, którą ktoś musi się opiekować.

W praktyce trzymamy się kilku zasad. Zanim dodamy jakikolwiek gotowy element, sprawdzamy, kto go tworzy, czy jest regularnie poprawiany i czy tej samej funkcji nie da się zrobić prościej. Dostępy ustawiamy tak, żeby każda osoba mogła zrobić tylko to, czego rzeczywiście potrzebuje, a do panelu logowała się dwuetapowo, najlepiej metodą odporną na podszywanie się, o czym więcej piszemy w artykule o logowaniu bez hasła w Microsoft Entra ID. Zmiany sprawdzamy przed publikacją, a nie na działającej stronie.

Co się dzieje po uruchomieniu strony?

Publikacja to początek opieki, a nie koniec projektu. Jeśli nie ma osoby odpowiedzialnej za stronę, nawet dobre zabezpieczenia z czasem przestają działać: pojawiają się nowe błędy w oprogramowaniu, zmieniają się ludzie w firmie, wygasają certyfikaty i domeny.

Dlatego zakres opieki ustalamy już na etapie projektu i dopasowujemy go do tego, jak zbudowana jest strona i jaką rolę pełni w firmie.

Obszar	Co robimy	Po co
Aktualizacje i zmiany	Pilnujemy systemu, dodatków i serwera, a większe zmiany sprawdzamy przed publikacją	Błędy są łatane, zanim ktoś zdąży je wykorzystać
Dostępy	Przeglądamy konta, uprawnienia, logowanie dwuetapowe, certyfikat i powiązane usługi	Wiadomo, kto może zmienić stronę
Kopie zapasowe	Robimy kopie dopasowane do rozwiązania i co jakiś czas próbnie odtwarzamy z nich stronę	Awaria nie oznacza kilku dni przerwy
Sprawdzanie działania	Kontrolujemy dostępność strony, formularze i najważniejsze ścieżki po zmianach	Klient nie trafia na zepsuty formularz

Jak to wygląda w praktyce? Przykład wdrożenia

Strony budujemy dla firm o różnym profilu. Jako przykład wybraliśmy jedno z wdrożeń, bo dobrze pokazuje, czym różni się samo “zrobienie strony” od uporządkowania jej na lata: przebudowę strony firmy Zaar (zaar.pl), zakładu stolarsko-meblarskiego zajmującego się cięciem płyt, oklejaniem PUR i obróbką CNC. Punkt wyjścia był typowy dla wielu firm: strona na WordPressie zbudowana lata temu przez zewnętrzną osobę, konta i powiadomienia nadal podpięte pod jej adres, a obok kilka starych adresów internetowych prowadzących do poprzednich wersji strony.

Tu, jak w każdym projekcie, zaczęliśmy od rozmowy o treściach, a nie o wyglądzie. Oferta i katalog dekorów w Zaar zmieniają się rzadko, a zmiany wprowadza jedna osoba, więc nie było powodu, żeby utrzymywać cały system z panelem, wtyczkami i bazą danych. Wybraliśmy stronę statyczną: na serwer trafiają gotowe pliki, bez panelu logowania i bez bazy danych. Wygląd napisaliśmy od zera, bez gotowego szablonu i ciężkich dodatków, które później trzeba aktualizować. To mniej cudzego kodu do pilnowania przez kolejne lata, a przy okazji szybsze otwieranie się strony.

“Statyczna” nie znaczy uboga. Powstało 26 podstron: strona główna, przegląd usług, osobne strony cięcia, oklejania PUR i obróbki CNC, materiały, “Jak zamawiać”, FAQ, “O nas”, kontakt i strona błędu. Do tego katalog dekorów z ponad 500 pozycjami w 14 grupach, z wygodnym filtrowaniem, 27 kart materiałów z kodami i opisami oraz 16 pytań i odpowiedzi. Zdjęcia przygotowują się automatycznie w lekkich wersjach dopasowanych do wielkości ekranu, więc strona przez nie nie zwalnia. Działa na telefonie, tablecie i komputerze, a na telefonie ma stały pasek na dole z przyciskiem “Zadzwoń”. Zadbaliśmy też o widoczność w Google: każda podstrona ma własny tytuł i opis, jest mapa strony, a dane firmy (adres, godziny otwarcia, telefony, usługi i najczęstsze pytania) zapisaliśmy w formacie, który Google odczytuje wprost.

Osobno uporządkowaliśmy to, o czym przy zmianie strony zwykle się zapomina:

zrobiliśmy kopię poprzedniej wersji strony, zanim cokolwiek zmieniliśmy,
założyliśmy nowe konta administracyjne, a stare konta WordPress wyłączyliśmy i przekazaliśmy pod kontrolę właściciela firmy,
zawiesiliśmy trzy nieużywane adresy internetowe, które wciąż prowadziły do starych wersji strony,
przekierowaliśmy powiadomienia na adres właściciela, bo wcześniej trafiały na skrzynkę osoby, która nie pracuje już z firmą.

Przed uruchomieniem strony właściciel Zaar dostał jasną informację: kto ma do niej dostęp, jak wprowadza się zmiany, gdzie jest kopia zapasowa i do kogo dzwonić, gdy coś przestanie działać.

Co możesz sprawdzić na swojej obecnej stronie?

Nie każda firma potrzebuje od razu nowej strony. Często wystarczy uporządkować to, co już działa. Poniższe kroki zajmą kilkadziesiąt minut, a jeśli nie wiesz, gdzie czegoś szukać, po prostu przekaż tę listę osobie, która opiekuje się Twoją stroną.

Krok	Co zrobić	Gdzie tego szukać
1	Sprawdź, kto ma konto administratora	Panel strony, sekcja “Użytkownicy”
2	Włącz logowanie dwuetapowe dla wszystkich osób, które mogą zmieniać stronę	Ustawienia bezpieczeństwa panelu
3	Spisz dodatki i usuń te, z których nikt nie korzysta	Panel strony, sekcja “Wtyczki”
4	Spisz cudzy kod na stronie: formularze, czaty, statystyki, piksele reklamowe	Ustawienia strony albo osoba, która ją prowadzi
5	Ustal, gdzie jest kopia zapasowa i kiedy ktoś ostatni raz z niej korzystał	Panel firmy hostingowej, umowa z wykonawcą
6	Sprawdź, na kogo zarejestrowany jest adres Twojej strony i kto może nim zarządzać	Panel firmy, w której kupiona jest domena

Jeśli chcesz spojrzeć szerzej na bezpieczeństwo firmy, a nie tylko strony, zajrzyj do naszego praktycznego planu ochrony małej i średniej firmy.

Checklista: bezpieczna strona firmowa

Dostępy

Mamy aktualną listę wszystkich kont do strony i do firmy hostingowej.
Usunęliśmy konta byłych pracowników i dawnych wykonawców.
Każda osoba, która może zmieniać stronę, loguje się dwuetapowo.
Wiemy, kto ma dostęp do naszej domeny i jej ustawień.

Dodatki i cudzy kod

Mamy spis dodatków używanych na stronie.
Usunęliśmy te, z których nie korzystamy.
Wiemy, jaki kod innych firm działa na stronie i po co tam jest.
Wiemy, kto i jak często instaluje aktualizacje.

Kopie zapasowe

Wiemy, gdzie jest kopia zapasowa strony.
Kopia obejmuje treści, zdjęcia i ustawienia.
Przynajmniej raz odtworzyliśmy z niej stronę na próbę.
Wiemy, ile czasu zajmuje przywrócenie strony.

Sprawdzanie działania

Po każdej większej zmianie sprawdzamy, czy formularze działają.
Dostajemy powiadomienie, gdy strona przestaje działać.
Mamy wskazaną osobę odpowiedzialną za stronę.
Wiemy, do kogo dzwonić, gdy na stronie pojawi się coś, czego tam nie dodaliśmy.

Najważniejszy wniosek

Strona internetowa to często pierwsze miejsce, w którym klient styka się z firmą. Zostawia tam swoje dane, pobiera ofertę, szuka kontaktu. Gdy ktoś przejmie stronę, tracisz nie tylko wizerunek, ale też zaufanie klientów, którzy zobaczyli fałszywy komunikat pod Twoim adresem.

Najlepsze rozwiązanie to takie, które firma potrafi później spokojnie utrzymać. Dlatego zaczynamy od pytań o to, jak pracujecie i kto będzie się stroną zajmował, a dopiero potem proponujemy konkretną technologię.

Jeśli planujesz nową stronę albo nie masz pewności, w jakim stanie jest obecna, umów krótką diagnozę. Przejrzymy Twoją stronę i zaproponujemy uporządkowanie, przebudowę albo nowe wdrożenie.