Váš staging už poznajú. Ako zabezpečiť server, HTTPS a cloud pred spustením webu

01HTTPS, certifikáty, doména a hlavičky

Certifikáty

Od 15. marca 2026 platí verejný TLS certifikát najviac 200 dní, od marca 2027 to bude 100 dní a od marca 2029 len 47 dní (CyberInsider). Kto obnovuje ručne, raz zabudne.

1. Obnovu zautomatizujte cez ACME (Let's Encrypt, ZeroSSL alebo certifikáty vášho CDN).
2. Sledujte expiráciu s upozornením aspoň 14 dní vopred. Aj automatika sa vie potichu pokaziť.
3. Pridajte do DNS záznam CAA, ktorý určí, ktoré certifikačné autority smú pre doménu vydávať certifikáty.
4. Sledujte logy Certificate Transparency pre vlastnú doménu (crt.sh, Cert Spotter). Dozviete sa o certifikáte, ktorý niekto vydal bez vášho vedomia.

TLS a postkvantové šifrovanie

Povoľte len TLS 1.2 a 1.3. Prehliadače Chrome, Edge a Firefox už navyše samy vyjednávajú postkvantovú výmenu kľúčov a v apríli 2026 cez ňu išli viac ako dve tretiny ľudskej prevádzky v sieti Cloudflare (Encryption Consulting, podľa Cloudflare). Chráni pred útokom „nahraj teraz, rozšifruj neskôr“, keď si niekto prevádzku uloží a rozšifruje ju, keď bude mať kvantový počítač. Za CDN to máte väčšinou vyriešené. Na vlastnom serveri overte, že vaša verzia OpenSSL a webového servera podporuje skupinu X25519MLKEM768.

Doména a DNS

1. Zmažte záznamy CNAME, ktoré vedú na zrušené služby (starý Heroku, GitHub Pages, bucket S3). Útočník si službu založí znova a na vašej subdoméne servíruje, čo chce.
2. Nastavte SPF, DKIM a DMARC, aj keď z domény zatiaľ e-maily neposielate. Inak ju podvodníci zneužijú na falošné správy vašim zákazníkom. Ako také správy spoznať, opisuje článok Podvodné SMS a e-maily.
3. Účet u registrátora chráňte dvojfaktorovým overením a zámkom prevodu domény. Kto ovládne DNS, ovládne celú aplikáciu.

Bezpečnostné hlavičky

Hlavičky povedia prehliadaču, čo smie a čo nie. Nasadenie zaberie hodinu a zastaví celé triedy útokov.

Proti vloženiu stránky do neviditeľného rámu (clickjacking) slúži direktíva frame-ancestors v CSP, pre staršie prehliadače pridajte X-Frame-Options: DENY. Hlavičku X-XSS-Protection vynechajte, moderné prehliadače ju ignorujú.

CSP spustite najprv v režime Content-Security-Policy-Report-Only, týždeň zbierajte hlásenia a potom ju prepnite na vynucovanie. Striktnú CSP s nonce musí generovať aplikácia, pretože nonce sa mení s každou odpoveďou a aplikácia ho vkladá do každej značky script. Next.js to vie cez proxy (predtým middleware). Keby CSP nastavil aj nginx, platili by dve politiky naraz a prehliadač by skripty zablokoval. Ostatné hlavičky stačí nastaviť na serveri, ukážka pre nginx:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Frame-Options "DENY" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
add_header Cross-Origin-Opener-Policy "same-origin" always;

Ako to overíte

Zadajte adresu do MDN HTTP Observatory a SSL Labs. Oba nástroje sú zadarmo a za minútu ukážu, čo chýba. Cieľom je známka A alebo lepšia. HSTS preload zapnite, až keď viete isto, že všetky subdomény vedia HTTPS. Vrátiť ho trvá mesiace.

02Server a cloud

V cloude býva otvorené viac, než čakáte. IBM v správe za rok 2026 uvádza pre región Blízkeho východu medzi tromi faktormi, ktoré najviac zvyšujú cenu úniku, zle spravované kľúče a príliš široké oprávnenia (IBM Newsroom).

Účty a oprávnenia

1. Hlavný účet cloudu (root v AWS, superadministrátor v Google Cloud, globálny administrátor v Azure) má hardvérový kľúč alebo passkey a na bežnú prácu sa nepoužíva.
2. Produkcia beží v inom účte alebo projekte ako vývoj a testovanie.
3. Každá služba aj každý človek má len oprávnenia, ktoré naozaj potrebuje. AdministratorAccess alebo Owner pre aplikáciu je chyba.
4. Ľudia sa prihlasujú cez SSO. Keď niekto odíde, zrušíte mu prístup na jednom mieste.

Sieť

1. Databázy, Redis a fronty nie sú dostupné z internetu, počúvajú len v privátnej sieti.
2. Z internetu je otvorený len port 443 a port 80 kvôli presmerovaniu. SSH a RDP idú cez VPN, bastion, AWS Systems Manager alebo Tailscale.
3. Kubernetes dashboard, Grafana, phpMyAdmin ani Adminer nie sú verejné.
4. Buckety (S3, Google Cloud Storage, Azure Blob) majú zablokovaný verejný prístup. Súbory zdieľajte cez podpísané odkazy s obmedzenou platnosťou.

Firebase a Supabase

Skontrolujte pravidlá pri každej tabuľke a kolekcii. Verejný kľúč v aplikácii smie čítať len to, čo mu pravidlá dovolia. Tabuľka bez row-level security alebo pravidlo „allow read, write: if true“ znamená, že dáta môže čítať a meniť ktokoľvek.

Staging

1. Staging je za prihlásením alebo dostupný len z vašich IP adries.
2. Nie sú na ňom produkčné osobné údaje. Ak potrebujete realistické dáta, anonymizujte ich.
3. Staré testovacie servery, zabudnuté preview nasadenia a opustené subdomény vypnite. Nikto ich neaktualizuje, a preto ich útočníci milujú.

Údržba a náklady

1. Operačný systém a runtime (Node.js, PHP, Python, Java) majú podporovanú verziu a bezpečnostné aktualizácie sa inštalujú aspoň raz týždenne.
2. Nastavte upozornenie na nezvyčajné výdavky. Ukradnutý kľúč sa často použije na ťaženie kryptomien a prvým príznakom je faktúra na tisíce dolárov.
3. Infraštruktúru opisujte kódom (Terraform, OpenTofu, CloudFormation) a kontrolujte ju nástrojom Checkov. Chybu v konfigurácii potom odhalí revízia skôr, ako sa dostane do produkcie.

Ako to overíte

Spustite bezplatný Prowler (AWS, Azure, Google Cloud) alebo AWS Security Hub či Microsoft Defender for Cloud. Z počítača mimo firmy skúste nástrojom nmap, ktoré porty server vystavuje. Odpovedať by mali len 80 a 443.

03Dáta a zálohy

Dáta, ktoré nemáte, vám nikto neukradne. A dáta, ktoré máte, musíte vedieť obnoviť: ransomvér sa podľa Verizonu objavil v 48 % analyzovaných únikov (NHI Mgmt Group, podľa Verizon DBIR 2026).

Minimalizácia a šifrovanie

1. Pri každom poli vo formulári si odpovedzte, prečo ho potrebujete. Rodné číslo takmer nikdy nepotrebujete.
2. Stanovte, ako dlho dáta držíte, a mazanie zautomatizujte.
3. Spojenie aplikácie s databázou, cache a frontami beží cez TLS aj vnútri infraštruktúry.
4. Šifrovanie diskov a databáz zapnite pri všetkých službách. V cloude je to väčšinou jedno zaškrtnutie.
5. Zdravotné údaje, čísla dokladov a bankové spojenie šifrujte aj v aplikácii, s kľúčmi v KMS. Kto ukradne zálohu databázy, uvidí len nezmyselné znaky.
6. Platobné karty neukladajte vôbec. Platbu nechajte na bránu (Stripe, Adyen, TrustPay, GP webpay), ktorá vám vráti len token.

Zálohy

1. Tri kópie dát na dvoch rôznych typoch úložiska, z toho jedna mimo hlavného prostredia (pravidlo 3-2-1).
2. Aspoň jedna kópia je nemenná (object lock) alebo v oddelenom účte. Ransomvér sa dnes snaží zmazať zálohy ako prvé.
3. Kto ovládne produkciu, nesmie vedieť zmazať zálohy. Prístupové údaje k nim sú iné.
4. Zálohy sú šifrované.
5. Obnovu vyskúšajte pred spustením a potom aspoň raz za štvrťrok. Záloha, ktorú ste nikdy neobnovili, je len nádej.
6. Stanovte, koľko dát si môžete dovoliť stratiť (RPO) a ako dlho smiete byť mimo prevádzky (RTO). Podľa toho nastavte frekvenciu záloh.

Skripty tretích strán

Analytika, chatovacie okná a reklamné pixely bežia na vašom webe s prístupom ku všetkému, čo používateľ napíše. Načítavajte len tie, ktoré naozaj potrebujete, ideálne s atribútom integrity (SRI). Na stránkach s platbou a prihlásením ich majte čo najmenej.

Ako to overíte

Vezmite včerajšiu zálohu a obnovte ju do čistého prostredia. Zmerajte, ako dlho to trvalo a či nad obnovenými dátami aplikácia funguje.

04Logovanie a monitoring

Firmám trvá v priemere 247 dní, kým únik odhalia a zastavia, z toho 183 dní len na to, aby si ho všimli (SecureWorld, podľa IBM 2026). Bez logov sa o útoku dozviete od zákazníkov, od novinárov alebo od útočníka, ktorý chce výkupné.

Čo logovať

1. Prihlásenia úspešné aj neúspešné, zmeny hesla, e-mailu a dvojfaktorového overenia.
2. Zmeny oprávnení, akcie administrátorov, prístupy k citlivým dátam a exporty.
3. Odmietnuté požiadavky (403), nápadné množstvo chýb validácie a prekročené limity.
4. Platby a zmeny konfigurácie.

Každý záznam má čas v UTC, ID používateľa, IP adresu a ID požiadavky. Logy posielajte do centrálneho systému mimo servera (Grafana Loki, Elastic, Datadog, Better Stack, CloudWatch). Útočník, ktorý ovládne server, zmaže logy na ňom ako prvé.

Čo nikdy nelogovať

Heslá, tokeny, ID relácií, API kľúče, celé čísla kariet a zbytočné osobné údaje. Najčastejšie sa tam dostanú pri ladení, keď niekto loguje celé požiadavky. Log s heslami je sám osebe únik dát.

Upozornenia

1. Nastavte pravidlá na podozrivé vzorce: desiatky neúspešných prihlásení za minútu, prihlásenie administrátora z novej krajiny, prudký nárast chýb 500 alebo exportov.
2. Upozornenia musí niekto čítať. Určte, kto ich dostáva mimo pracovného času, a vyskúšajte, že naozaj dorazia.
3. Nasaďte externý monitoring dostupnosti (UptimeRobot, Better Stack, Checkly) a sledovanie chýb (Sentry).

Ako to overíte

Prihláste sa zlým heslom a do minúty nájdite záznam v centrálnych logoch. Potom v logoch za posledný týždeň vyhľadajte slová password, token a authorization.

05DDoS

Cloudflare za prvý polrok 2026 odrazil 23,2 milióna sieťových DDoS útokov a 935 z nich prekročilo 1 Tbps (Cloudflare). Viac ako 90 % sieťových útokov skončí do desiatich minút (Cloudflare). Kým by ste stihli zareagovať ručne, je po všetkom a web medzitým nefunguje.

1. Postavte aplikáciu za CDN s ochranou pred DDoS (Cloudflare, Akamai, Fastly, AWS CloudFront so Shield, Bunny). Základná ochrana býva zadarmo.
2. Skryte skutočnú IP adresu servera a povoľte na ňom prevádzku len z adries CDN. Inak útočník CDN obíde a ide rovno na server.
3. Zapnite webový firewall (WAF) so sadou OWASP Core Rule Set alebo spravovanými pravidlami CDN. Najprv v režime logovania, aby ste nezablokovali zákazníkov.
4. Limity počtu požiadaviek nastavte aj v aplikácii, hlavne pre prihlásenie, registráciu a vyhľadávanie.

Ako to overíte

Na testovacom prostredí pošlite nástrojom k6 alebo hey niekoľko tisíc požiadaviek a sledujte, či sa zapnú limity. Potom skúste otvoriť aplikáciu priamo cez IP adresu servera. Ak sa načíta, CDN sa dá obísť.

06Checklist

HTTPS, doména a hlavičky

• Certifikát sa obnovuje automaticky a expirácia sa sleduje.
• Povolené je len TLS 1.2 a 1.3, SSL Labs dáva známku A alebo lepšiu.
• HTTP presmerúva na HTTPS a HSTS je nastavené.
• CSP beží aspoň v režime Report-Only s termínom prechodu na vynucovanie.
• Nastavené sú X-Content-Type-Options, Referrer-Policy, Permissions-Policy a frame-ancestors.
• DNS má záznam CAA, doména má SPF, DKIM a DMARC.
• Žiadny CNAME nevedie na zrušenú službu.
• Registrátor a DNS majú dvojfaktorové overenie a zámok prevodu.

Server a cloud

• Produkcia je v oddelenom účte cloudu.
• Hlavný účet cloudu má hardvérový kľúč alebo passkey.
• Databázy, cache a fronty nie sú dostupné z internetu.
• Verejné sú len porty 80 a 443.
• Buckety majú zablokovaný verejný prístup.
• Pravidlá Firebase alebo Supabase sú skontrolované pri každej tabuľke.
• Staging je za prihlásením a bez produkčných osobných údajov.
• Operačný systém a runtime majú podporovanú verziu.
• Upozornenie na nezvyčajné výdavky je zapnuté.

Dáta a zálohy

• Aplikácia zbiera len potrebné dáta a má lehoty uchovávania.
• Spojenie s databázou je šifrované, disky a citlivé polia tiež.
• Platobné karty spracúva brána.
• Aspoň jedna záloha je nemenná alebo v oddelenom účte.
• Obnova zo zálohy je vyskúšaná a zmeraná.

Logy a DDoS

• Dôležité udalosti sa logujú do centrálneho systému mimo servera.
• V logoch nie sú heslá ani tokeny.
• Upozornenia chodia konkrétnej osobe a sú otestované.
• Beží monitoring dostupnosti a sledovanie chýb.
• Aplikácia je za CDN a server prijíma prevádzku len z CDN.
• WAF je zapnutý.

Chyby v kóde rieši článok Stačí zmeniť číslo v adrese, kľúče a závislosti článok Stačil jeden npm install.

07Celá séria o bezpečnosti webovej aplikácie

Séria piatich článkov pokrýva celú aplikáciu, od kódu cez server až po povinnosti vedenia:

• Checklist so 105 bodmi pre celú aplikáciu
• Chyby v kóde, cez ktoré unikajú dáta
• API kľúče, závislosti a útoky cez npm
• Server, HTTPS, cloud, zálohy a logy (práve čítate)
• Čo musí zariadiť vedenie: GDPR, NIS2, CRA a pentest

08Časté otázky

09Zdroje

Údaje platia k 27. septembru 2026.

• UCSB: Certificate Transparency ako zdroj cieľov (IEEE EuroS&P 2023)
• AWS: rýchle zneužitie chyby React2Shell (CVE-2025-55182)
• watchTowr: Verizon DBIR 2026
• NHI Mgmt Group: Verizon DBIR 2026
• CyberInsider: platnosť TLS certifikátov do roku 2029
• Encryption Consulting: postkvantové šifrovanie v prehliadačoch
• IBM Newsroom: Cost of a Data Breach 2026, Blízky východ
• SecureWorld: IBM Cost of a Data Breach 2026
• Cloudflare DDoS Threat Report H1 2026