Online bezpečnostní audit je první pohled na to, co o vaší firmě prozrazuje její veřejně dostupné IT. Může upozornit na chybné nastavení e-mailové domény, problémy s certifikátem, rozpoznané zastaralé technologie nebo nechtěně zpřístupněné soubory. Nevidí však automaticky do firemních počítačů, interních systémů ani nastavení účtů. Dobrý výsledek proto není potvrzením, že je firma bezpečná — a horší známka sama o sobě neznamená, že už došlo k útoku.
Co může online audit prověřit
1. Web a šifrované spojení
Kontrola může ověřit dostupnost HTTPS, vlastnosti certifikátu, přesměrování a vybrané bezpečnostní hlavičky. Ty například ovlivňují, jak prohlížeč zachází s obsahem stránky. Chybějící hlavička je podnět k posouzení nastavení; sama o sobě nedokazuje zneužitelnou chybu.
2. E-mailovou doménu
Z veřejných DNS záznamů lze zjistit nastavení SPF a DMARC a hledat vybrané záznamy DKIM. Tyto mechanismy pomáhají ověřovat odesílatele a omezovat podvržení domény. Existence záznamu ale ještě neznamená, že je nastaven správně. Například DMARC v režimu sledování sbírá informace, ale sám nepožaduje odmítání nevyhovujících zpráv. Zpřísnění musí předcházet ověření všech legitimních odesílatelů, včetně fakturačního systému nebo newsletteru.
3. Rozpoznatelné technologie a známé zranitelnosti
Veřejné odpovědi webu mohou obsahovat stopy použitého redakčního systému, frameworku nebo hostingu. U WordPressu mohou být vidět i některé pluginy, šablona či verze. Zjištěné technologie lze porovnat s dostupnými záznamy známých zranitelností, označovaných CVE.
Rozpoznání nemusí být úplné. Skrytá nebo odstraněná informace o verzi neznamená, že je software aktuální. Shoda se záznamem CVE vyžaduje ověřit konkrétní verzi a podmínky zranitelnosti; naopak žádná nalezená shoda není důkazem, že zranitelnost neexistuje.
4. Veřejně dostupné soubory a rozhraní
Automatické kontroly mohou hledat vybrané citlivé soubory, vývojová rozhraní a podezřelé tajné klíče v dostupných skriptech. U moderních aplikací mohou také upozornit na veřejné source mapy — soubory, které usnadňují čtení původního zdrojového kódu. Jejich zveřejnění není samo o sobě únikem hesel, ale zaslouží si kontrolu, co skutečně obsahují.
Ne každý viditelný klíč je tajný: některé platformy používají veřejné identifikátory záměrně. Rozhodující jsou jeho oprávnění a zabezpečení navazující služby. Pokud je veřejný skutečně tajný klíč, nestačí ho pouze odstranit ze stránky — je potřeba ho zneplatnit nebo vyměnit a prověřit možné použití.
5. Vybrané veřejné informace o doméně
Kontrola může doplnit přehled o DNS, subdoménách a dostupných záznamech veřejně známých úniků. Rozsah závisí na dostupnosti zdrojů. Záznam úniku služby spojené s doménou není totéž jako důkaz úniku účtů jejích zaměstnanců v jiných službách; k takovému závěru je potřeba jiné, cílené ověření.
Funguje audit jen pro WordPress?
Ne. HTTPS, certifikáty, DNS, e-mailové záznamy a veřejné soubory lze kontrolovat i u webů na Drupalu nebo u aplikací postavených na Reactu, Next.js či Lovable. Productivv online audit hledá také vybrané signatury moderních platforem a navazujících služeb. Detekce platformy však není auditem jejího interního nastavení.
Například z veřejného webu nelze kompletně posoudit, kdo má přístup k firemní databázi, jaké jsou zásady pro jednotlivé uživatele nebo zda aplikace správně odděluje zákaznická data. To vyžaduje kontrolu s oprávněným přístupem a předem dohodnutým rozsahem.
Co online audit nenahradí
- Penetrační test: cílené ověřování zneužitelnosti chyb a návazností mezi nimi v dohodnutém rozsahu.
- Kontrolu účtů a oprávnění: například nastavení vícefaktorového ověřování, přístupy administrátorů nebo odchody zaměstnanců.
- Audit interní sítě a zařízení: aktualizace počítačů, ochranu koncových zařízení nebo oddělení sítí.
- Test obnovy ze záloh: existující záloha není důkazem, že z ní dokážete v potřebném čase obnovit provoz.
- Posouzení regulatorních povinností: soulad s právními požadavky nelze určit pouze ze skóre domény.
Jak číst skóre a jednotlivé nálezy
Skóre slouží k orientaci a sledování změn v rámci stejné metodiky. Není procentem pravděpodobnosti útoku ani certifikátem bezpečnosti. Změnit se může nejen po opravě webu, ale také po rozšíření kontrol, aktualizaci dat o zranitelnostech nebo kvůli dostupnosti měřených služeb.
U každého nálezu si položte tři otázky: Co bylo skutečně změřeno? Jaký dopad to může mít na náš provoz? Kdo může ověřit a opravit příčinu? Nedostupná kontrola a negativní výsledek nejsou totéž. Pokud se test týká veřejné IP připojení, ověřte navíc, zda jste jej spustili z firemní sítě, a ne z domova nebo mobilních dat.
Co opravit nejdřív: praktický postup pro firmu
- Ověřte závažné nálezy. Podezření na veřejný tajný klíč, citlivá data nebo zneužitelnou chybu předejte odpovědnému správci. Při známkách incidentu řešte nejdřív jeho zvládnutí, ne samotné skóre.
- Určete vlastníka a prioritu. Ke každému potvrzenému problému doplňte odpovědnou osobu, dotčenou službu a plán nápravy podle skutečného dopadu.
- Opravy proveďte řízeně. Před aktualizací webu ověřte zálohu a kompatibilitu. Před změnou e-mailových pravidel zkontrolujte všechny odesílatele. Technická oprava nesmí zbytečně zastavit objednávky nebo fakturaci.
- Zkontrolujte výsledek. Zopakujte měření a ověřte i běžný provoz: objednávku, formulář, odesílání pošty či přihlášení. Zmizení upozornění není jediným cílem.
- Doplňte slepá místa. Podle významu systému naplánujte kontrolu účtů, interního prostředí, obnovy nebo penetrační test.
Kdy stačí první kontrola a kdy jít dál
Online audit dává smysl jako úvodní orientace, při převzetí webu od dodavatele nebo po změně hostingu a e-mailu. Pokud provozujete zákaznickou aplikaci, zpracováváte citlivá data nebo je výpadek systému významným provozním rizikem, přidejte hlubší prověření. Rozsah vybírejte podle dat a procesů, které potřebujete chránit, nikoli jen podle použité technologie.
Spustit online bezpečnostní audit můžete pro vlastní doménu nebo prostředí, které máte oprávnění prověřovat. Výstup berte jako seznam podnětů k ověření a nápravě. Pro širší ochranu se podívejte na Productivv Cyber Secure; pro další postup využijte nezávaznou konzultaci.
Časté otázky
Potřebuji poskytnout hesla do administrace?
Pro veřejnou kontrolu domény ne. Bez přihlášení ale nelze prověřit interní oprávnění nebo konfiguraci účtů. Hlubší kontrola má samostatně dohodnutý přístup a rozsah.
Znamená dobrá známka, že nemusíme řešit bezpečnost?
Ne. Známka popisuje jen měřené oblasti v daném okamžiku. Neříká, zda jsou chráněné počítače, zda funguje obnova nebo zda mají lidé správně nastavené přístupy.
Má smysl audit opakovat?
Ano, zejména po opravách nebo významných změnách. Při porovnávání si zkontrolujte také rozsah kontrol a konkrétní nálezy, ne pouze výsledné číslo.
Další čtení a metodické zdroje
- OWASP Web Security Testing Guide — rámec pro systematické testování webových aplikací; širší než automatická veřejná kontrola.
- CISA: Secure Our World — základní opatření včetně vícefaktorového ověřování a aktualizací.
- On-site vs. off-site: výběr zálohování pro firmy — jak uvažovat o obnově a ochraně provozu.
