Εν συντομία: Μια σύμβαση συντήρησης ιστότοπου με έμφαση στην ασφάλεια φροντίζει ώστε οι ενημερώσεις, τα αντίγραφα ασφαλείας και η επιτήρηση να μην εξαρτώνται από την τύχη. Υποστηρίζουμε διαρκώς τους ιστοτόπους και τους διακομιστές PHP σας, κρατάμε την κατάσταση ενημερωμένη, δοκιμάζουμε την επαναφορά και αντιδρούμε σύμφωνα με μια συμφωνημένη διαδικασία όταν γίνεται γνωστή μια νέα ευπάθεια. Λαμβάνετε τακτικά μια κατανοητή αναφορά.
Γιατί η ασφάλεια ανήκει στη σύμβαση συντήρησης ιστότοπου
Πολλές συμβάσεις συντήρησης καλύπτουν ενημερώσεις CMS και σταματούν εκεί. Το PHP2Shell έδειξε ότι αυτό δεν αρκεί: οι ευπάθειες CVE-2026-109618 και CVE-2026-109619 βρίσκονται στην ίδια την PHP, όχι στο CMS. Μια ενημέρωση του WordPress ή του Shopware δεν τις κλείνει. Όποιος φροντίζει μόνο το CMS, δεν έχει στο οπτικό του πεδίο τον πραγματικό κίνδυνο.
Προστίθεται ο παράγοντας χρόνος. Ανάμεσα στην προανακοίνωση από το php.net στις 20/10/2026 και τη δημοσίευση των patches στις 21/10 μεσολάβησε μία ημέρα, και σύμφωνα με δημοσιεύματα υπήρξε ήδη στις 17/10 μια πρώτη παρατηρημένη απόπειρα επίθεσης. Σε τέτοιες καταστάσεις βοηθά μόνο μια διαδικασία που υπάρχει από πριν και κάποιος που έχει πρόσβαση και γνωρίζει ποια συστήματα επηρεάζονται. Όποιος αναζητά στοιχεία πρόσβασης, τηλεφωνεί σε παρόχους και διευκρινίζει αρμοδιότητες μόνο στην κρίσιμη στιγμή, χάνει ακριβώς τον χρόνο που αξιοποιούν οι επιτιθέμενοι.
Ένα ακόμη σημείο υποτιμάται συχνά: τα αντίγραφα ασφαλείας που δεν έχουν ποτέ επαναφερθεί είναι μια υπόσχεση χωρίς απόδειξη. Μόνο μια δοκιμή επαναφοράς δείχνει αν ένα αντίγραφο είναι πλήρες και πόσο διαρκεί πραγματικά η επιστροφή στη λειτουργία.
Για ποιους αξίζει μια σύμβαση συντήρησης ασφαλείας
Μια σύμβαση συντήρησης με έμφαση στην ασφάλεια ταιριάζει κυρίως σε εταιρείες των οποίων ο ιστότοπος ή το κατάστημα είναι κρίσιμο για την επιχείρηση, αλλά δεν διαθέτουν δική τους διαχείριση για διακομιστές και PHP. Τυπικά είναι οι ηλεκτρονικοί έμποροι, τα ιατρεία, τα δικηγορικά γραφεία και οι μεσαίες επιχειρήσεις με πύλες πελατών, αλλά και δημόσιοι φορείς με περισσότερες διαδικτυακές παρουσίες.
Εξίσου σκόπιμη είναι όταν η ευθύνη σήμερα κατανέμεται σε πολλούς: ένα πρακτορείο έχει χτίσει τον ιστότοπο, ένας πάροχος φιλοξενίας παρέχει τον διακομιστή, ένας πρώην υπάλληλος γνώριζε τις προσβάσεις. Σε τέτοιες συνθήκες φαίνεται γρήγορα, σε καταστάσεις όπως το PHP2Shell, ότι κανείς δεν είναι σαφώς αρμόδιος. Η σύμβαση δημιουργεί ένα σταθερό σημείο που ξέρει και επιτρέπεται να δράσει.
Για έναν μεμονωμένο, μικρό ιστότοπο χωρίς φόρμες ή δεδομένα πελατών μπορεί να αρκεί μια πιο λιτή έκταση. Αυτό το διευκρινίζουμε στην καταγραφή.
Τι περιλαμβάνει η σύμβαση συντήρησης ασφαλείας
- Ενημερώσεις: λειτουργικό σύστημα, διακομιστής ιστού, PHP, CMS, επεκτάσεις και εξαρτήσεις, με σταθερό ρυθμό και επιπλέον σε κρίσιμες ευπάθειες
- Επανεκκίνηση και απόδειξη: μετά από ενημερώσεις PHP, επανεκκίνηση όλων των workers με έλεγχο ότι δεν εκτελούνται παλιές διεργασίες
- Αντίγραφα ασφαλείας: σύμφωνα με τον κανόνα 3-2-1, με τακτική δοκιμή επαναφοράς. Τα βασικά θα βρείτε στο Αντίγραφα ασφαλείας σύμφωνα με τον κανόνα 3-2-1.
- Επιτήρηση: ακεραιότητα αρχείων, συνδέσεις, διεργασίες και logs, όπως περιγράφεται στο Security monitoring για διακομιστές ιστού
- Κύκλος ζωής: έγκαιρος σχεδιασμός προτού μια έκδοση PHP φτάσει στο τέλος της υποστήριξής της, για παράδειγμα η PHP 8.2 στις 31/12/2026
- Διαδικασία έκτακτης ανάγκης: συντονισμένα βήματα για την κρίσιμη στιγμή, προσβάσεις και υπεύθυνοι επικοινωνίας που είναι αμέσως γνωστοί στο περιστατικό
- Αναφορά: τακτική περίληψη με ενημερώσεις που εφαρμόστηκαν, συμβάντα και συστάσεις
Ποιος είναι αρμόδιος για τι;
Πολλές ευπάθειες ασφαλείας δεν προκύπτουν τεχνικά, αλλά οργανωτικά: ο καθένας νομίζει ότι θα φροντίσει κάποιος άλλος. Γι' αυτό καταγράφουμε γραπτώς τις αρμοδιότητες. Ένα τυπικό παράδειγμα:
| Εργασία | Πάροχος φιλοξενίας | Πρακτορείο | PHP SOS | Εσείς |
|---|---|---|---|---|
| Υλικό, δίκτυο, κέντρο δεδομένων | ναι | |||
| Λειτουργικό σύστημα και ενημερώσεις PHP | ανάλογα με τη σύμβαση | ναι | ||
| CMS και επεκτάσεις | ναι | κατόπιν συνεννόησης | ||
| Περιεχόμενο και λογαριασμοί χρηστών | ναι | |||
| Επιτήρηση και διαδικασία έκτακτης ανάγκης | ναι | Εγκρίσεις |
Η πραγματική κατανομή εξαρτάται από τις συμβάσεις σας. Ιδίως στους διαχειριζόμενους διακομιστές αξίζει μια προσεκτική ματιά στο τι αναλαμβάνει πραγματικά ο πάροχος, βλ. Διαχειριζόμενος διακομιστής: διευκρίνιση της ευθύνης. Τα πρακτορεία με πολλούς ιστοτόπους πελατών θα βρουν ένα κατάλληλο μοντέλο στο Συνεργάτης ασφαλείας για πρακτορεία.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγραφή: Καταγράφουμε όλους τους ιστοτόπους, τους διακομιστές, τις εκδόσεις, τις προσβάσεις, τα αντίγραφα ασφαλείας και τις υπάρχουσες συμβάσεις.
- Αρχική θωράκιση: Οι ανοιχτές ενημερώσεις και οι γνωστές αδυναμίες κλείνουν πρώτα, προτού ξεκινήσει η διαρκής υποστήριξη.
- Συμφωνία: Καταγράφουμε γραπτώς έκταση, ρυθμό, αρμοδιότητες και τη διαδικασία έκτακτης ανάγκης, καθώς και το πότε σας ρωτάμε πριν από αλλαγές.
- Διαρκής υποστήριξη: Ενημερώσεις, αντίγραφα ασφαλείας, επιτήρηση και αναφορές σύμφωνα με το πλάνο, και σε κρίσιμες ευπάθειες επιπλέον σύμφωνα με τη συμφωνημένη διαδικασία έκτακτης ανάγκης.
- Ετήσια επανεξέταση: Ελέγχουμε μαζί αν η σύμβαση ταιριάζει ακόμη στο τοπίο των συστημάτων σας.
Τι χρειαζόμαστε και τι δεν υποσχόμαστε
Χρειαζόμαστε μόνιμες διοικητικές προσβάσεις, ένα πρόσωπο επικοινωνίας με εξουσία απόφασης, επαφή με τον πάροχο φιλοξενίας και το πρακτορείο καθώς και πληροφορίες για προγραμματισμένες αλλαγές στις εφαρμογές σας. Τις προσβάσεις τις διαχειριζόμαστε χωριστά ανά πελάτη και τεκμηριώνουμε ποιος έχει πρόσβαση. Αν σχεδιάζετε αλλαγές στα συστήματά σας, για παράδειγμα νέο κατάστημα, έναν επιπλέον ιστότοπο ή αλλαγή παρόχου φιλοξενίας, ενημερώστε μας νωρίς, ώστε οι ενημερώσεις, τα αντίγραφα ασφαλείας και η επιτήρηση να αναπτυχθούν μαζί.
Δεν υποσχόμαστε ότι τα συστήματά σας δεν θα δεχθούν ποτέ επίθεση. Μια σύμβαση συντήρησης μειώνει τον κίνδυνο και φροντίζει να ενεργείτε γρήγορα και με τάξη στην κρίσιμη στιγμή. Τιμές και χρόνους αντίδρασης δεν αναφέρουμε γενικά, αλλά τους ορίζουμε μετά την καταγραφή στην προσφορά. Πώς θα προετοιμάσετε επιπλέον οργανωτικά την κρίσιμη στιγμή, περιγράφει το Σύνταξη σχεδίου έκτακτης ανάγκης IT για διακομιστές ιστού.
Συχνές ερωτήσεις
Τι ανήκει σε μια σύμβαση συντήρησης ιστότοπου με έμφαση στην ασφάλεια;
Τουλάχιστον ενημερώσεις για διακομιστή, PHP, CMS και επεκτάσεις, τακτικά αντίγραφα ασφαλείας με δοκιμή επαναφοράς, επιτήρηση ασφάλειας και σαφής ρύθμιση για καταστάσεις έκτακτης ανάγκης. Σημαντικό είναι επίσης να καταγράφεται γραπτώς ποιος είναι αρμόδιος για τι.
Αντικαθιστά η σύμβαση συντήρησης το πρακτορείο ή τον πάροχο φιλοξενίας μου;
Όχι απαραίτητα. Συχνά συνεργαζόμαστε με το πρακτορείο και τον πάροχο φιλοξενίας και αναλαμβάνουμε το κομμάτι της ασφάλειας. Αποφασιστικό είναι οι αρμοδιότητες να κατανέμονται χωρίς κενά και να μην μένει τίποτα στη μέση ανάμεσα στους εμπλεκόμενους.
Τι συμβαίνει όταν γίνεται γνωστή μια κρίσιμη ευπάθεια όπως το PHP2Shell;
Τότε ελέγχουμε ποια από τα συστήματά σας επηρεάζονται, εφαρμόζουμε ενημερώσεις σύμφωνα με τη συμφωνημένη διαδικασία ή ορίζουμε προσωρινά μέτρα και σας ενημερώνουμε για την κατάσταση. Το πόσο γρήγορα γίνεται αυτό, το ορίζουμε μαζί στη σύμβαση.
Υπάρχει σταθερή τιμή;
Η έκταση εξαρτάται από τον αριθμό και το είδος των συστημάτων σας. Μετά από μια καταγραφή συντάσσουμε μια προσφορά που περιγράφει ακριβώς τι περιλαμβάνεται.