Накратко: Договорът за поддръжка на уебсайт с акцент върху сигурността се грижи актуализациите, резервните копия и наблюдението да не зависят от случайността. Ние се грижим постоянно за Вашите уебсайтове и PHP сървъри, поддържаме състоянието актуално, тестваме възстановяването и реагираме по договорен ред, когато стане известна нова уязвимост. Редовно получавате разбираем доклад.
Защо сигурността спада към договора за поддръжка на уебсайт
Много договори за поддръжка покриват актуализациите на CMS и спират дотам. PHP2Shell показа, че това не стига: уязвимостите CVE-2026-109618 и CVE-2026-109619 са в самия PHP, а не в CMS. Актуализация на WordPress или Shopware не ги затваря. Който се грижи само за CMS, не държи под око същинската опасност.
Към това се добавя факторът време. Между предварителното обявяване от php.net на 20.10.2026 г. и публикуването на пачовете на 21.10. има един ден, а според съобщения в медиите още на 17.10. е имало първи наблюдаван опит за атака. В такива положения помага само ред, който е определен предварително, и някой, който има достъп и знае кои системи са засегнати. Който едва в краен случай търси данни за достъп, звъни на доставчици и изяснява отговорностите, губи точно времето, което използват атакуващите.
Една друга точка често се подценява: резервни копия, които никога не са били възстановявани, са обещание без доказателство. Едва тестът за възстановяване показва дали един архив е пълен и колко време наистина отнема връщането към работа.
За кого си струва договор за поддръжка на сигурността
Договор за поддръжка с акцент върху сигурността подхожда най-вече на фирми, чийто уебсайт или магазин е критичен за бизнеса, но които нямат собствена администрация за сървъри и PHP. Типични са онлайн търговци, кабинети, кантори и средни предприятия с клиентски портали, но също и публични институции с няколко уеб присъствия.
Също така е разумен, когато отговорността днес е разпределена на много плещи: агенция е направила уебсайта, хостинг доставчик предоставя сървъра, бивш сътрудник е познавал достъпите. При такива конфигурации в ситуации като PHP2Shell бързо се вижда, че никой не е еднозначно отговорен. Договорът създава твърдо звено, което е в течение и има право да действа.
За един-единствен малък уебсайт без формуляри или клиентски данни може да стигне по-тънък обхват. Това изясняваме при описа.
Какво съдържа договорът за поддръжка на сигурността
- Актуализации: операционна система, уеб сървър, PHP, CMS, разширения и зависимости, по твърд ритъм и допълнително при критични уязвимости
- Рестартиране и доказателство: след PHP актуализации рестартиране на всички worker процеси с проверка, че не работят стари процеси
- Резервни копия: по правилото 3-2-1, с редовен тест за възстановяване. Основите са описани на страницата Резервни копия по правилото 3-2-1.
- Наблюдение: цялост на файловете, влизания, процеси и логове, както е описано в Наблюдение на сигурността за уеб сървъри
- Жизнен цикъл: ранно планиране, преди една PHP версия да достигне края на поддръжката си, например PHP 8.2 на 31.12.2026 г.
- Ред при спешни случаи: съгласувани стъпки за краен случай, достъпи и лица за контакт, които са веднага известни при инцидент
- Доклад: редовно резюме с внесените актуализации, събитията и препоръките
Кой за какво отговаря?
Много пропуски в сигурността възникват не технически, а организационно: всеки мисли, че друг се грижи. Затова записваме отговорностите писмено. Типичен пример:
| Задача | Хостинг доставчик | Агенция | PHP SOS | Вие |
|---|---|---|---|---|
| Хардуер, мрежа, център за данни | да | |||
| Операционна система и PHP актуализации | според договора | да | ||
| CMS и разширения | да | по уговорка | ||
| Съдържание и потребителски акаунти | да | |||
| Наблюдение и ред при спешни случаи | да | одобрения |
Действителното разпределение зависи от Вашите договори. Особено при управлявани сървъри си струва точен поглед какво доставчикът наистина поема, вижте Управляван сървър: изясняване на отговорността. Агенции с много клиентски сайтове ще намерят подходящ модел на страницата Партньор по сигурността за агенции.
Как помага PHP SOS конкретно?
- Опис: Събираме всички уебсайтове, сървъри, версии, достъпи, резервни копия и съществуващи договори.
- Първоначално осигуряване: Неуредените актуализации и известните слабости се затварят първо, преди да започне текущата грижа.
- Споразумение: Записваме писмено обхвата, ритъма, отговорностите и реда при спешни случаи, също и въпроса кога Вие ще бъдете питани преди промени.
- Текуща грижа: Актуализации, резервни копия, наблюдение и доклади по план, при критични уязвимости допълнително по договорения ред при спешни случаи.
- Годишен преглед: Проверяваме заедно дали договорът още пасва на Вашия системен пейзаж.
Какво ни е нужно и какво не обещаваме
Нужни са ни постоянни административни достъпи, лице за контакт с право да решава, контакт с хостинг доставчика и агенцията, както и информация за планирани промени във Вашите приложения. Достъпите управляваме отделно за всеки клиент и документираме кой има достъп. Ако планирате промени във Вашите системи, например нов магазин, още един уебсайт или смяна на хостинг доставчика, кажете ни навреме, за да растат заедно актуализациите, резервните копия и наблюдението.
Не обещаваме, че Вашите системи никога няма да бъдат атакувани. Договорът за поддръжка намалява риска и се грижи в краен случай да се действа бързо и подредено. Цени и времена за реакция не посочваме в общ вид, а ги определяме в офертата след описа. Как можете допълнително да подготвите организационно краен случай, описва страницата Изготвяне на ИТ план за спешни случаи за уеб сървъри.
Често задавани въпроси
Какво влиза в договор за поддръжка на уебсайт с акцент върху сигурността?
Най-малкото актуализации на сървъра, PHP, CMS и разширенията, редовни резервни копия с тест за възстановяване, наблюдение на сигурността и ясна уредба за спешни случаи. Важно е и да се запише писмено кой за какво отговаря.
Замества ли договорът за поддръжка моята агенция или моя хостинг доставчик?
Не непременно. Често работим заедно с агенцията и хостинг доставчика и поемаме частта по сигурността. Решаващото е отговорностите да са разпределени без пропуски и нищо да не остава между участниците.
Какво се случва, когато стане известна критична уязвимост като PHP2Shell?
Тогава проверяваме кои от Вашите системи са засегнати, внасяме актуализациите по договорения ред или прилагаме временни мерки и Ви информираме за състоянието. Колко бързо ще стане това, определяме заедно в договора.
Има ли фиксирана цена?
Обхватът зависи от броя и вида на Вашите системи. След опис изготвяме оферта, която описва точно какво е включено.