Co powinna obejmować opieka nad stroną: lista kontrolna przed podpisaniem umowy

Stan na 11.10.2026. Ten poradnik opisuje dobre praktyki i dane z raportów CERT Polska i ENISA. Nie jest poradą prawną.

Jeśli masz już przed sobą ofertę, możesz od razu przejść do listy 10 pytań do wykonawcy. Wcześniejsze sekcje wyjaśniają, skąd się biorą te pytania i jakie odpowiedzi są dobre.

Dlaczego strona potrzebuje opieki

Strona internetowa to oprogramowanie. System zarządzania treścią, motyw i dodatki mają błędy, które z czasem wychodzą na jaw i są poprawiane w kolejnych wersjach. Strona, której nikt nie aktualizuje, zostaje z lukami, o których wiedzą wszyscy, także atakujący.

Dwa raporty dobrze pokazują skalę:

• CERT Polska w 2025 r. otrzymał 658 320 zgłoszeń i zarejestrował 260 783 unikalne incydenty bezpieczeństwa. Odnotował też 179 ataków ransomware, więcej niż w 2024 r. (147). W tym samym roku zespół nadał 43 numery CVE, czyli oficjalne oznaczenia podatności, dla błędów w systemach CMS używanych do prowadzenia Biuletynów Informacji Publicznej. Wśród nich były m.in. hasła przechowywane jawnym tekstem i brak ograniczeń przy przesyłaniu plików.
• ENISA, unijna agencja ds. cyberbezpieczeństwa, przeanalizowała prawie 4 900 incydentów z okresu od lipca 2024 r. do czerwca 2025 r. Phishing odpowiadał za około 60% przypadków, w których ustalono sposób wejścia, a wykorzystanie podatności za 21,3%.

Wniosek jest prosty. Większość ataków nie celuje w Twoją firmę osobiście. Atakujący szukają masowo stron z nieaktualnym oprogramowaniem i ludzi, którzy klikną w fałszywy link. Opieka nad stroną zmniejsza oba ryzyka.

Co powinna obejmować opieka

1. Aktualizacje

• Aktualizacje systemu, motywu i dodatków wdrażane regularnie, według ustalonego harmonogramu.
• Najpierw test na kopii strony, potem wdrożenie na stronę, którą widzą klienci.
• Poprawki krytycznych luk wdrażane szybciej niż reszta, najlepiej w ciągu godzin lub dni od wydania.
• Przegląd dodatków: te, których nikt nie używa albo których twórca przestał je rozwijać, warto usunąć lub zastąpić.

Zapytaj, co się dzieje, gdy aktualizacja coś zepsuje. Dobra odpowiedź brzmi: wracamy do poprzedniej wersji i szukamy przyczyny na kopii.

2. Kopie zapasowe z testem przywracania

RODO wymienia wśród środków bezpieczeństwa m.in. zdolność do szybkiego przywrócenia dostępności danych po incydencie oraz regularne testowanie skuteczności zabezpieczeń (art. 32 ust. 1 lit. c i d). W praktyce oznacza to kopie, z których naprawdę da się odtworzyć stronę.

Sprawdź w ofercie:

• jak często powstaje kopia, np. codziennie;
• czy obejmuje pliki i bazę danych;
• gdzie jest przechowywana — kopia na tym samym serwerze zginie razem z nim;
• jak długo jest przechowywana, np. 30 dni wstecz;
• jak często wykonawca testuje przywracanie i czy możesz zobaczyć wynik.

3. Monitoring

• Dostępność strony: powiadomienie, gdy strona przestaje odpowiadać.
• Certyfikat SSL: przypomnienie przed wygaśnięciem.
• Domena: przypomnienie przed końcem okresu rejestracji. Wygasła domena to niedziałająca strona i poczta.
• Zmiany w plikach: sygnał, gdy na serwerze pojawia się coś, czego nikt nie wgrywał.

Ustal, kto dostaje powiadomienia i w jakim czasie reaguje.

4. Bezpieczeństwo

• Zapora aplikacyjna (WAF), która filtruje typowe ataki, zanim dotrą do strony.
• Logowanie dwuskładnikowe do panelu strony, hostingu i rejestratora domeny.
• Osobne konto dla każdej osoby. Nie jedno hasło „admin” dla wszystkich.
• Najmniejsze potrzebne uprawnienia. Osoba, która dodaje wpisy, nie potrzebuje praw administratora.
• Usuwanie kont osób, które już nie współpracują z firmą.

Phishing to najczęstsza droga wejścia w danych ENISA. Hasło do panelu strony wysłane mailem albo wpisane na fałszywej stronie logowania zniweczy najlepsze aktualizacje.

5. Drobne zmiany

Godziny otwarcia, cennik, zdjęcia, nowy wpis. Ustal, czy są w cenie, w jakim limicie i jak szybko są wprowadzane. Jeden ustalony kanał zgłoszeń, np. adres e-mail lub formularz, oszczędza nieporozumień.

6. Raport

Raz w miesiącu krótka informacja: co zaktualizowano, czy kopie działały, czy były przestoje i co proponuje wykonawca. Bez raportu nie wiesz, za co płacisz.

7. Postępowanie przy incydencie

Ustal z góry, kto co robi, gdy strona zostanie zaatakowana: kto Cię informuje i w jakim czasie, kto przywraca stronę z kopii, kto sprawdza, czy wyciekły dane.

To ważne także ze względów prawnych. Jeśli dojdzie do naruszenia ochrony danych osobowych, administrator danych co do zasady zgłasza je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 RODO). Jeśli wykonawca przetwarza dane w Twoim imieniu, np. ma dostęp do zgłoszeń z formularza, potrzebna jest umowa powierzenia przetwarzania danych (art. 28 RODO).

Hosting, opieka i pomoc techniczna to nie to samo

Te trzy rzeczy często mieszają się w ofertach, a każda odpowiada za coś innego:

Usługa	Za co odpowiada	Czego zwykle nie obejmuje
Hosting	serwer, na którym działa strona, i jego dostępność	aktualizacji Twojej strony, jej dodatków i treści
Pomoc techniczna hostingu	odpowiedzi na pytania o serwer i konto	naprawy strony po nieudanej aktualizacji
Opieka nad stroną	aktualizacje, kopie, monitoring, bezpieczeństwo i zmiany na samej stronie	budowy nowych funkcji czy przebudowy strony

Jeśli płacisz tylko za hosting, nikt nie aktualizuje Twojej strony, nawet jeśli serwer jest w świetnym stanie. Sprawdź więc, czy w Twojej firmie ktoś odpowiada za każdy z tych trzech wierszy.

Kto powinien trzymać dostępy

Częsty problem w małych firmach to nie zhakowana strona, tylko brak dostępu do własnej strony. Poprzedni wykonawca zniknął, a domena, hosting i panel są na jego koncie.

Na Twoją firmę powinny być założone:

• konto u rejestratora domeny;
• konto u dostawcy hostingu;
• konto administratora w panelu strony;
• strefa DNS, jeśli jest zarządzana osobno;
• Google Search Console i analityka;
• konto Profilu Firmy w Google;
• skrzynki pocztowe w domenie firmy.

Wykonawca dostaje do nich osobne konto z potrzebnymi uprawnieniami. Gdy współpraca się kończy, odbierasz mu dostęp jednym kliknięciem, zamiast prosić o przekazanie.

Lista kontrolna: 10 pytań do wykonawcy przed podpisaniem umowy

Poproś każdego wykonawcę o odpowiedź na te pytania:

1. Jak często aktualizujecie stronę i czy testujecie aktualizacje na kopii?
2. Jak szybko wdrażacie poprawki krytycznych luk?
3. Jak często robicie kopie, gdzie je przechowujecie i jak długo?
4. Kiedy ostatnio przywracaliście stronę z kopii w ramach testu?
5. Co monitorujecie i jak szybko reagujecie na awarię?
6. Jakie drobne zmiany są w cenie i w jakim czasie je wprowadzacie?
7. Jak wygląda raport?
8. Jak szybko informujecie o incydencie bezpieczeństwa?
9. Na czyje konta są zarejestrowane domena i hosting?
10. Jak wygląda przekazanie strony, jeśli zechcę odejść, i ile trwa?

Sygnały ostrzegawcze:

• „Kopie robi hosting” bez szczegółów.
• Brak odpowiedzi na pytanie o test przywracania.
• Domena lub hosting na koncie wykonawcy, bez planu przeniesienia.
• Długa umowa bez możliwości wypowiedzenia.
• Obietnica, że „strony nie da się zhakować”. Nikt uczciwy tego nie gwarantuje.

Jak odejść od wykonawcy bez stresu

Najlepszy moment na plan odejścia to podpisanie umowy. Sprawdź, czy umowa mówi:

• co dokładnie dostajesz przy zakończeniu współpracy: pliki strony, bazę danych, aktualną kopię, listę dodatków i licencji;
• w jakim terminie wykonawca to przekazuje;
• kto przenosi domenę i DNS oraz kto płaci za ewentualne opłaty;
• że wykonawca usuwa swoje konta i kopie po przekazaniu.

Jeśli odchodzisz już teraz, zacznij od kont: upewnij się, że masz dostęp do domeny i hostingu. Potem zrób własną kopię strony i dopiero wtedy wypowiedz umowę.

Szybki przegląd, który możesz zrobić dziś

• Zaloguj się do panelu domeny. Sprawdź, na kogo jest zarejestrowana i do kiedy jest opłacona.
• Zaloguj się do hostingu i panelu strony. Jeśli nie możesz, to pierwsza rzecz do załatwienia.
• Sprawdź listę użytkowników w panelu strony i usuń tych, którzy nie powinni mieć dostępu.
• Zapytaj, kiedy ostatnio powstała kopia strony i gdzie leży.
• Włącz logowanie dwuskładnikowe wszędzie, gdzie jest dostępne.

Jak możemy pomóc

W ramach rozwiązania Pakiet opieki aktualizujemy stronę po teście na kopii, robimy codzienne kopie zapasowe ze sprawdzonym przywracaniem i monitorujemy stronę z zaporą aplikacyjną (WAF). Jeśli przenosimy stronę do siebie, działa na serwerach w UE. Gdy zechcesz odejść, dostępy, kod i aktualną kopię przekazujemy w ciągu 1 dnia roboczego od zgłoszenia. Domena i dostępy zostają na Twojej firmie.

Więcej o zakresie znajdziesz na stronach opieka nad stroną i bezpieczeństwo stron. Bezpłatną wycenę ze stałą ceną dostaniesz w ciągu 24 godzin, także w weekendy i święta.