Jak sprawdzić, czy hosting jest dobrze skonfigurowany?

Ocena hostingu nie powinna sprowadzać się do pytania „czy strona się otwiera?”. Strona może działać poprawnie przez wiele miesięcy, mimo że w tle korzysta z nieaktualnego oprogramowania, nie ma sprawdzonego backupu albo nikt nie wie, kto posiada dostęp do domeny.

Z drugiej strony nie każda firmowa witryna potrzebuje WAF-a, CDN-u, osobnego środowiska testowego i rozbudowanego monitoringu. Najpierw warto uporządkować podstawy.

1. HTTPS powinien działać zawsze, nie tylko „zwykle”

Po wejściu na stronę adres powinien zaczynać się od https://, a przeglądarka nie powinna wyświetlać ostrzeżenia o certyfikacie.

W praktyce warto sprawdzić trzy rzeczy:

• czy HTTP automatycznie przekierowuje na HTTPS,
• czy certyfikat obejmuje wszystkie używane adresy strony,
• czy odnowienie certyfikatu odbywa się automatycznie.

Nie trzeba analizować każdego parametru kryptograficznego. Dla typowej strony firmowej ważne jest przede wszystkim, żeby operator korzystał ze współczesnych protokołów TLS i nie utrzymywał przestarzałych ustawień.

2. PHP, CMS i dodatki powinny być wciąż wspierane

Jeżeli strona działa na WordPressie, innym CMS-ie albo aplikacji PHP, samo „działa” to za mało.

Warto sprawdzić:

• czy używana wersja PHP nadal otrzymuje aktualizacje bezpieczeństwa,
• czy CMS jest aktualizowany,
• czy wtyczki i motywy nie są porzucone przez producentów,
• czy nie ma starych, nieużywanych instalacji pozostawionych na koncie.

Nie trzeba zawsze używać najnowszej wersji w dniu premiery. Ważne, żeby używana wersja była nadal wspierana i aktualizowana.

3. Backup powinien być możliwy do odtworzenia

Informacja „backup codziennie” jest dobrym początkiem, ale nie kończy tematu.

Sprawdźmy:

• co dokładnie obejmuje backup,
• jak długo przechowywane są wcześniejsze kopie,
• czy można samodzielnie odtworzyć pliki i bazę danych,
• czy ktoś kiedykolwiek wykonał próbne odtworzenie.

Przy ważniejszej stronie warto mieć również kopię niezależną od podstawowego konta hostingowego. Nie musi to jednak oznaczać skomplikowanego systemu — najważniejsze, żeby kopia była dostępna również wtedy, gdy problem dotyczy samego hostingu.

4. Domena i DNS powinny być uporządkowane

Hosting może działać bez zarzutu, a mimo to firma może mieć problem, jeśli nikt nie wie, gdzie znajduje się domena albo kto ma dostęp do jej konfiguracji.

Minimum to:

• domena zarejestrowana na właściwego abonenta,
• aktualny kontakt administracyjny,
• dostęp do panelu rejestratora po stronie firmy,
• znana lokalizacja konfiguracji DNS,
• brak starych, nieużywanych rekordów, jeśli wiemy, że nie są już potrzebne.

DNSSEC jest wartościowym dodatkowym zabezpieczeniem i warto go włączyć, jeżeli operator i używana konfiguracja domeny na to pozwalają. Nie traktowałbym jednak jego braku jako automatycznego dowodu, że cały hosting jest źle skonfigurowany.

5. Jeżeli hosting obsługuje pocztę, sprawdź jej podstawową konfigurację

Jeżeli skrzynki e-mail działają na tym samym hostingu, warto zweryfikować przede wszystkim, czy wiadomości dochodzą poprawnie i czy domena ma ustawione mechanizmy ograniczające podszywanie się pod firmę.

W praktyce chodzi głównie o:

• rekord SPF,
• podpisy DKIM,
• politykę DMARC,
• poprawny rekord MX.

Nie musimy zaczynać od najbardziej restrykcyjnej polityki DMARC. Ważniejsze jest, żeby konfiguracja była świadoma, przetestowana i stopniowo zaostrzana tam, gdzie ma to sens.

6. Dostęp administracyjny nie powinien zależeć od jednej osoby

Jednym z częstszych problemów nie jest awaria techniczna, tylko brak dostępu do panelu.

Warto sprawdzić:

• na jaki adres e-mail założone jest konto hostingowe,
• czy dane do logowania są przechowywane w kontrolowany sposób,
• czy włączone jest uwierzytelnianie dwuskładnikowe, jeśli operator je oferuje,
• czy firma wie, jak odzyskać dostęp w razie odejścia pracownika lub zmiany dostawcy IT.

Nie każdy operator pozwala tworzyć kilka osobnych kont administracyjnych. Jeżeli nie pozwala, tym bardziej warto uporządkować sposób przechowywania i odzyskiwania dostępu.

7. Ktoś powinien zauważyć, że strona przestała działać

Monitoring nie musi być rozbudowany. Dla prostej strony firmowej wystarczy nawet podstawowe sprawdzanie dostępności strony wykonywane z zewnątrz.

Dobrze wiedzieć:

• czy strona odpowiada,
• czy certyfikat jest ważny,
• czy operator publikuje informacje o swoich awariach,
• kto otrzymuje powiadomienie, gdy pojawi się problem.

To często wystarczy, aby dowiedzieć się o awarii od monitoringu, a nie od klienta.

Co jest przydatne, ale nie zawsze konieczne?

Nie każdą funkcję warto wpisywać na listę obowiązkowych wymagań. Zależnie od strony i skali działalności przydatne mogą być:

• WAF, czyli dodatkowa warstwa filtrowania ruchu do strony,
• CDN, szczególnie przy większym ruchu lub użytkownikach z różnych krajów,
• osobne środowisko testowe,
• bardziej rozbudowany monitoring wydajności,
• niezależny system backupu z dłuższą historią kopii.

Brak któregoś z tych elementów nie oznacza automatycznie złej konfiguracji. Powinny wynikać z rzeczywistych potrzeb i ryzyka, a nie z chęci odhaczenia jak najdłuższej checklisty.

10-minutowa checklista hostingu

• Czy strona zawsze otwiera się po HTTPS bez błędów certyfikatu?
• Czy PHP, CMS i używane dodatki są nadal wspierane?
• Czy wiemy, co obejmuje backup i jak go odtworzyć?
• Czy domena i DNS są pod kontrolą firmy?
• Czy SPF, DKIM i DMARC są poprawnie ustawione, jeśli hosting obsługuje pocztę?
• Czy dostęp do panelu jest zabezpieczony i możliwy do odzyskania?
• Czy ktoś zostanie powiadomiony, gdy strona przestanie działać?