Bezpieczeństwo strony firmowej w 2026 - nie tylko WordPress. Checklist dla małej firmy w UK

Krótka odpowiedź: gdy właściciel małej firmy myśli o bezpieczeństwie strony, zwykle myśli o wirusach w WordPressie. W praktyce problemy, które widzę u klientów, częściej zaczynają się gdzie indziej: domena zarejestrowana na byłego webmastera, hasło do hostingu w notatkach telefonu bez weryfikacji dwuetapowej, e-mail firmowy bez SPF i DMARC, przez co oszust wysyła faktury „od Ciebie”, albo formularz kontaktowy zalewany spamem. Poniżej checklist w siedmiu obszarach. Większość punktów zrobisz sam w godzinę albo dwie.

O samym WordPressie (wtyczki, aktualizacje, panel logowania) pisałem osobno w checkliście bezpieczeństwa WordPress. Ten wpis dotyczy każdej strony, niezależnie od technologii.

1. Domena: najważniejszy i najczęściej zaniedbany element

Kto kontroluje domenę, kontroluje stronę i e-mail. Jeśli ktoś przejmie Twoją domenę, może przekierować ją na swoją stronę i odbierać Twoją pocztę, w tym linki do resetu haseł w innych serwisach.

• Sprawdź, na kogo jest zarejestrowana. W panelu rejestratora powinno być Twoje imię i nazwisko albo firma, a nie webmaster czy agencja. Więcej w poradniku kto jest właścicielem Twojej strony.
• Weryfikacja dwuetapowa (2FA) na koncie rejestratora. To jedno z najważniejszych ustawień na tej liście.
• Automatyczne odnawianie i aktualna karta. Domena, która wygasła, może zostać kupiona przez kogoś innego w ciągu kilku dni.
• E-mail do konta rejestratora, który działa. Jeśli to adres na tej samej domenie, a domena przestanie działać, nie odbierzesz przypomnień. Lepiej podać osobny adres, np. Gmail.

2. E-mail firmowy: SPF, DKIM i DMARC

To trzy wpisy w ustawieniach domeny (DNS), które mówią serwerom pocztowym na świecie, kto może wysyłać pocztę jako Twoja firma.

• SPF to lista serwerów, które mogą wysyłać maile z Twojej domeny.
• DKIM to cyfrowy podpis każdej wiadomości.
• DMARC to instrukcja, co zrobić z mailem, który nie przeszedł kontroli: przepuścić, wrzucić do spamu albo odrzucić.

Bez nich dzieją się dwie rzeczy. Twoje prawdziwe maile częściej lądują w spamie u klientów, bo Gmail i inni dostawcy wymagają co najmniej SPF albo DKIM. Łatwiej też podszyć się pod Twoją firmę, np. wysłać klientowi „zmienione dane do przelewu”. To popularne oszustwo w firmach budowlanych i remontowych, gdzie przelewy są duże.

Sprawdzisz to za darmo w narzędziach typu MXToolbox: wpisujesz domenę i widzisz, czego brakuje. Konfiguracja zależy od tego, gdzie masz pocztę (Google Workspace, Microsoft 365, Zoho, Cloudflare). Jeśli korzystasz z darmowego e-maila na Cloudflare, większość ustawień dodaje się kilkoma kliknięciami.

3. Dostęp do kont: hasła, 2FA i ludzie

Najwięcej włamań, które widzę, to nie zaawansowane ataki, tylko hasła.

• Menedżer haseł (Bitwarden, 1Password albo wbudowany w przeglądarkę) zamiast jednego hasła do wszystkiego.
• 2FA wszędzie, gdzie się da: rejestrator domeny, hosting, panel strony, e-mail, wizytówka Google, konta reklamowe, płatności.
• Osobne konta dla ludzi, nie jedno wspólne hasło. Webmaster, księgowa, pracownik: każdy ma własny dostęp z ograniczonymi uprawnieniami. Gdy ktoś odchodzi, usuwasz jego konto, zamiast zmieniać hasło wszystkim.
• Lista dostępów. Prosta tabelka: serwis, kto ma dostęp, jaki poziom. Raz na pół roku przejrzyj ją i usuń osoby, które już z Tobą nie pracują.
• Wizytówka Google jest na tej liście. Oszuści dzwonią do firm i podszywają się pod Google. Jak ich rozpoznać, opisuję w poradniku o oszustach od wizytówek.

4. Strona i hosting

• HTTPS na każdej podstronie. Kłódka w przeglądarce to dziś standard, a strona bez niej pokazuje ostrzeżenie „Not secure”. U większości hostingów certyfikat jest darmowy.
• Aktualne oprogramowanie. Dotyczy to WordPressa, wtyczek, motywów, ale też sklepów (WooCommerce, PrestaShop) i paneli administracyjnych.
• Mniej elementów, mniej dziur. Każda wtyczka i każdy dodatkowy skrypt to kod, który ktoś musi aktualizować. Strony, które buduję, są statyczne i hostowane na Cloudflare. Nie mają panelu logowania ani bazy danych, więc większość typowych ataków po prostu nie ma się do czego dobrać. Więcej w porównaniu WordPress vs Astro vs Webflow.
• Usuń stare kopie i strony testowe. Zapomniana kopia strony na test.twojadomena.co.uk ze starym WordPressem to częsty punkt wejścia.

5. Formularze i dane klientów

Formularz kontaktowy to najczęstsze miejsce, gdzie strona małej firmy zbiera dane osobowe.

• Ochrona przed spamem bez irytowania ludzi. Cloudflare Turnstile albo reCAPTCHA zatrzymują większość botów. Klient nie powinien musieć klikać w obrazki z hydrantami.
• Gdzie trafiają wiadomości? Jeśli formularz wysyła je na e-mail, sprawdź, czy ta skrzynka ma 2FA. Jeśli zapisuje je w bazie danych na stronie, ktoś musi tę bazę zabezpieczać i regularnie czyścić.
• Zbieraj tylko to, czego potrzebujesz. Imię, kontakt, krótki opis. Nie pytaj o datę urodzenia ani adres, jeśli nie są potrzebne do wyceny. Mniej danych to mniejsze ryzyko.
• Polityka prywatności, która opisuje rzeczywistość. Kto dostaje dane, jak długo je trzymasz, jak można poprosić o usunięcie. Czy musisz też płacić opłatę ICO, sprawdzisz w poradniku o rejestracji w ICO.

6. Kopie zapasowe, które da się przywrócić

Kopia zapasowa, której nikt nigdy nie przywrócił, to tylko nadzieja.

• Automatyczne i regularne: codziennie dla stron, które często się zmieniają (sklep, blog), co tydzień dla prostych stron.
• Poza serwerem strony. Jeśli kopie leżą na tym samym hostingu, włamanie albo awaria może zabrać stronę razem z kopiami.
• Test raz na kilka miesięcy: przywróć kopię w środowisku testowym i sprawdź, czy strona działa.
• Przy stronach na Cloudflare cały kod jest w repozytorium Git, więc każda wcześniejsza wersja jest do odtworzenia w kilka minut.

7. Plan na wypadek, gdy coś pójdzie nie tak

Gdy dzieje się coś złego, łatwiej działać z listą niż w panice.

1. Zmień hasła do domeny, hosting, panelu strony i e-maila. Włącz 2FA, jeśli go nie było.
2. Zabezpiecz dowody: zrzuty ekranu, kopia obecnego stanu strony. Przydadzą się do ustalenia, jak doszło do włamania.
3. Przywróć czystą wersję z kopii sprzed problemu albo poproś o usunięcie wirusów.
4. Jeśli wyciekły dane klientów i może to im zaszkodzić, masz 72 godziny na zgłoszenie do ICO od momentu, gdy się o tym dowiedziałeś.
5. Jeśli doszło do oszustwa (np. ktoś wysłał klientom fałszywe faktury z Twojej domeny), zgłoś to do Action Fraud i uprzedź klientów.
6. Sprawdź Google Search Console: czy Google nie oznaczył strony jako niebezpiecznej. Po oczyszczeniu prosisz tam o ponowną weryfikację.

Cyber Essentials: czy mała firma tego potrzebuje

Cyber Essentials to rządowy program certyfikacji prowadzony przez NCSC. Dla większości małych firm nie jest obowiązkowy. Wymagają go niektóre przetargi publiczne i więksi klienci B2B. Nawet bez certyfikacji warto przejrzeć jego wymagania i poradnik NCSC dla małych firm. To dobre, darmowe źródło, napisane prostym językiem.

Od czego zacząć dziś

Jeśli masz tylko godzinę, zrób te cztery rzeczy:

1. Włącz 2FA u rejestratora domeny i na koncie hostingu.
2. Sprawdź, na kogo jest zarejestrowana domena.
3. Sprawdź domenę w MXToolbox i zobacz, czy masz SPF, DKIM i DMARC.
4. Upewnij się, że masz kopię zapasową poza serwerem strony.

Jeśli wolisz, żeby ktoś przejrzał to wszystko za Ciebie, audyt bezpieczeństwa kosztuje £197 i trwa 1-3 dni robocze. Dostajesz listę problemów od najpoważniejszego i instrukcję, co z nimi zrobić.

Częste pytania

Czy mała firma jest w ogóle celem ataku?

Tak, choć zwykle nie osobiście. Większość ataków na małe strony jest automatyczna: boty skanują internet w poszukiwaniu znanych dziur w starych wtyczkach, słabych haseł i porzuconych paneli logowania. Nie muszą wiedzieć, kim jesteś. Wystarczy, że Twoja strona ma lukę.

Czy strona bez WordPressa jest bezpieczna?

Strona statyczna (np. Astro na Cloudflare) ma dużo mniej miejsc, przez które można się włamać, bo nie ma panelu logowania, bazy danych ani wtyczek. Nadal trzeba jednak chronić domenę, konto hostingu, pocztę i formularze. Te elementy dotyczą każdej strony.

Co to jest SPF, DKIM i DMARC?

To trzy wpisy w ustawieniach domeny (DNS), które mówią serwerom pocztowym, kto może wysyłać e-maile z Twojej domeny. Bez nich łatwiej podszyć się pod Twoją firmę, a Twoje prawdziwe maile częściej trafiają do spamu. Gmail wymaga od nadawców co najmniej SPF albo DKIM.

Co zrobić, gdy strona została zhakowana?

Zmień hasła do hostingu, panelu strony i domeny, włącz weryfikację dwuetapową, zrób kopię obecnego stanu do analizy i przywróć czystą kopię zapasową. Jeśli wyciekły dane klientów i jest to ryzyko dla nich, zgłoś to do ICO w ciągu 72 godzin. Oszustwo zgłaszasz do Action Fraud.

Czy potrzebuję certyfikatu Cyber Essentials?

Dla większości małych firm nie jest obowiązkowy. Wymagają go niektóre przetargi publiczne i więksi klienci B2B. Nawet jeśli nie zamierzasz się certyfikować, lista kontrolna Cyber Essentials od NCSC to dobry punkt startowy dla firmy.