# White-label-tietoturva: tietoturvakumppani toimistoille

> Monta asiakassivustoa, eri hosting-yrityksiä, yksi korjauspäivä: työskentelemme toimistoille taustalla, korjaamme, puhdistamme ja dokumentoimme.

Lähde: https://phpsos.de/fi/branchen/agenturen-white-label/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** White-label-tietoturva tarkoittaa toimistollenne: te pidätte asiakassuhteen, me hoidamme tietoturvatyön taustalla. PHP2Shellin kohdalla se tarkoittaa kaikkien asiakassivustojen inventaariota, riskiin perustuvaa priorisointia, korjausta ja uudelleenkäynnistystä palvelinkohtaisesti sekä asiakaskohtaista todistusta, jonka voitte välittää eteenpäin.

## Miksi toimistoilla on PHP2Shellin kanssa erityinen paine

Toimisto, jolla on paljon asiakkaita, ylläpitää harvoin yhtenäistä ympäristöä. Osa sivustoista on omilla palvelimilla Pleskillä, osa asiakkaiden hosting-yrityksillä, muutama vanha projekti PHP-versioilla, jotka eivät ole saaneet virallisia päivityksiä aikoihin. Lisäksi on eri järjestelmiä: WordPress, TYPO3, Shopware, [Craft CMS](https://phpsos.de/fi/plattformen/craft-cms/), Laravel-omat kehitykset.

PHP:n omassa haavoittuvuudessa kaikki projektit ovat vaarassa yhtä aikaa. Asiakkaat odottavat vastausta siihen, onko heidän sivustonsa turvallinen, ja projektitiimi on täynnä käynnissä olevia toimeksiantoja. Monet huoltosopimukset kattavat CMS:n mutta eivät sen alla olevaa palvelinta.

Lisäksi on järjestelmiä, jotka eivät enää esiinny missään projektilistassa: välitilaympäristöjä aliverkkotunnuksilla, päättyneiden projektien kampanjasivustoja, kehittäjien testiasennuksia omilla vServereillä. Ne toimivat usein vanhemmilla PHP-versioilla, niitä ei valvota, ja ne kantavat silti toimistonne tai asiakkaanne nimeä. Automaattisille skannauksille ne ovat yhtä näkyviä kuin pääsivusto.

## Mitä kysymyksiä asiakkaanne nyt esittävät

- Koskeeko tämä minun verkkosivuani ja onko se jo korjattu?
- Onko jotain ehditty lisätä ennen korjausta?
- Riittääkö CMS:n päivitys suojaksi? Ei, CMS-päivitys ei sulje PHP-haavoittuvuutta.
- Onko verkkosivuni otettava pois verkosta? BSI (Saksan liittovaltion tietoturvavirasto) suosittelee sitä palvelimille, joita ei voi päivittää heti.

Jokaiseen näistä kysymyksistä toimistonne tarvitsee todennettavan vastauksen asiakaskohtaisesti, ei yleisiä väitteitä sisältävää joukkoviestiä.

## Miten white-label-tietoturva toimistoille toimii

Työskentelemme osana tiimiänne mutta ilman omaa asiakaskontaktia. Työnjako on selkeä:

| Tehtävä | Toimistonne | PHP SOS |
|---|---|---|
| Asiakasviestintä ja laskutus | kyllä | ei |
| Kaikkien asiakassivustojen inventaario PHP-tiloineen | toimittaa tunnukset | laatii ja ylläpitää |
| Korjaus, uudelleenkäynnistys, tarkistus palvelinkohtaisesti | vapauttaa huoltoikkunan | toteuttaa tai koordinoi hosting-yritysten kanssa |
| Vaarantumisen tarkistus | saa tuloksen | etsii web shellejä ja poikkeamia |
| Todistus asiakaskohtaisesti | välittää eteenpäin | laatii neutraalina tai teidän muodossanne |

Vieraiden hosting-yritysten sivustoilla hankimme paketin tilan vahvistuksen. Näytetty versionumero yksin ei riitä, koska backportit voivat jättää sen ennalleen.

> **Tärkeää:**
> Priorisoikaa ensin palvelimet, joilla on Apache ja mod_php, joissa PHP-tiimi arvioi riskin suurimmaksi, sitten verkkokaupat ja kirjautumisellisia sivustoja, sitten projektit PHP 8.1:llä ja vanhemmilla. Staattiset vanhat projektit, joita kukaan ei enää tarvitse, kannattaa poistaa käytöstä sen sijaan, että niitä korjattaisiin.

## Useita asiakassivustoja yhdellä palvelimella: tarkistakaa eristys

Toimiston palvelimilla monet asiakassivustot jakavat usein yhden koneen. Jos yksi niistä vaarantuu, eristys ratkaisee, pääseekö hyökkääjä käsiksi myös muihin. Tärkeitä ovat omat järjestelmäkäyttäjät ja PHP-FPM-poolit sivustoa kohti, siistit tiedosto-oikeudet ja rajat kuten [open_basedir](https://phpsos.de/fi/ratgeber/open-basedir/). [Plesk-palvelimilla](https://phpsos.de/fi/server/plesk/) nämä asetukset voi tarkistaa tilauskohtaisesti.

Korjauksen jälkeen pätee: käynnistäkää kaikki poolit ja worker-prosessit uudelleen. Vasta silloin muistissa ei enää pyöri vanhoja PHP-prosesseja. Lokit 20.10.2026 alkaen tulisi säilyttää jokaiselta asiakassivustolta.

## Asiakastiedotus: mikä on todennettua ja mikä ei

Suurin kiusaus tässä tilanteessa on rauhoittava joukkoviesti. Turvallisempi on asiakaskohtainen kannanotto, joka sisältää vain sen, mikä on todennettu: mikä palvelin, mikä PHP-paketin tila, milloin käynnistetty uudelleen, onko vaarantumisen tarkistus tehty ja millä tuloksella. Se, mikä on vielä avoinna, mainitaan myös.

Ilmaisuja kuten ”sivustonne on turvallinen” kannattaa välttää. Korjaus sulkee haavoittuvuuden, mutta ei todista, ettei aiemmin ole tapahtunut mitään. Joka erottaa tämän rehellisesti, ei joudu myöhemmin selittelemään, jos löydös sittenkin ilmenee.

## Huoltosopimukset uusiksi PHP2Shellin jälkeen

Monet toimistosopimukset kattavat CMS:n ja laajennusten päivitykset mutta vaikenevat palvelimesta. Käyttäkää tilannetta kirjataksenne jokaisen asiakkaan osalta, kuka päivittää PHP:n, kuka vastaa uudelleenkäynnistyksistä, kuka päättää poikkeamatilanteessa ja mitkä palvelut tilataan erikseen. Myös kaikkien osallisten palveluntarjoajien kanssa tehtävä henkilötietojen käsittelysopimus kuuluu asiaan. Sopimuksellisen muotoilun selvitätte oikeudellisen neuvonnan kanssa.

## Miten PHP SOS auttaa konkreettisesti?

- Otamme hoitaaksemme kaikkien asiakassivustojen kartoituksen PHP-versioineen, ajotapoineen, hosting-yrityksineen ja vastuineen.
- [PHP-korjauspalvelumme](https://phpsos.de/fi/leistungen/php-patch-service/) kautta korjaamme omat palvelimenne, käynnistämme kaikki worker-prosessit uudelleen ja todennamme sen asiakaskohtaisesti.
- Tarkistamme priorisoidut sivustot vaarantumisen varalta ja puhdistamme löydösten perusteella, kunnes tapaus on käsitelty loppuun ja dokumentoitu.
- Toimitamme tekstipohjia asiakastiedotteeseenne, jotka voitte muokata ja lähettää itse.
- Sen jälkeen hoidamme halutessanne [tietoturvahuoltosopimuksella](https://phpsos.de/fi/leistungen/security-wartungsvertrag/) jatkuvan tietoturvaylläpidon taustalla.


## Usein kysytyt kysymykset

**Esiinnytteekö asiakkaitamme kohtaan?**  
Vain jos haluatte. White-label-mallissa työskentelemme yksinomaan taustalla, ja kaikki viestintä kulkee toimistonne kautta. Toimitamme dokumentaation neutraalina tai teidän muodossanne.

**Tarvitsemmeko tähän henkilötietojen käsittelysopimuksen?**  
Jos pääsemme järjestelmiin, joissa on asiakkaidenne henkilötietoja, tarvitaan yleensä henkilötietojen käsittelyä koskeva sopimus, usein alikäsittelijäsopimuksena. Miten se sopii nykyisiin sopimuksiinne, selvitätte oikeudellisen neuvonnan kanssa. Toimitamme tarvittavat tiedot toiminnastamme.

**Entä asiakassivustot, joiden palvelinta emme ylläpidä?**  
Jos asiakassivustot ovat vieraiden hosting-yritysten luona, pyydämme teidän nimissänne tai teidän pohjillanne vahvistukset korjaustilasta ja uudelleenkäynnistyksestä. Siellä, missä on vain FTP- tai CMS-pääsy, tarkistamme, mitä sieltä käsin on mahdollista, ja merkitsemme avoimesti, mitä vain hosting-yritys voi todentaa.

**Voimmeko ulkoistaa tämän pysyvästi myös PHP2Shellin jälkeen?**  
Kyllä. Monet tehtävät toistuvat jokaisen haavoittuvuuden kohdalla: inventaarion ylläpito, korjausten asennus, uudelleenkäynnistysten todentaminen, poikkeamien ilmoittaminen. Tämä työ voidaan järjestää jatkuvana ylläpitona taustalla.

## Lähteet

- [php.net: tietoturvatiedotteet](https://www.php.net/)
- [php.net: tuetut versiot](https://www.php.net/supported-versions.php)
- [BSI: varoitukset ja suositukset](https://www.bsi.bund.de/)