# Oppaat: PHP:n ja palvelimen tietoturva > Opas PHP:n tietoturvaan: web shellit, takaovet, php.ini, SQL-injektio, XSS, tiedostolataukset, lokit, varmuuskopiot ja tietoturvaotsakkeet. Lähde: https://phpsos.de/fi/ratgeber/ Tilanne: 25.10.2026 Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6 Asiantuntija-artikkelit ylläpitäjille ja kehittäjille: web shellien tunnistaminen, php.ini:n koventaminen, lokien analysointi ja turvallinen ohjelmointi. - [PHP2Shell-aikajana: tapahtumat 17.–25. lokakuuta 2026](https://phpsos.de/fi/ratgeber/php2shell-chronologie/): Kaikki PHP2Shellistä todennetut päivämäärät yhdessä katsauksessa, ensimmäisestä havaitusta hyökkäysyrityksestä tilanteeseen 25.10.2026, sekä se, mitä niistä seuraa tarkistuksellenne. - [Hostingin PHP-päivityksen vahvistus: näin kysytte korjaustilaa](https://phpsos.de/fi/ratgeber/hoster-patch-status-erfragen/): Näytetty PHP-versio todistaa PHP2Shellin jälkeen vähän. Tällä mallipohjalla pyydätte hosting-yritykseltä vahvistuksen, jonka voitte dokumentoida. - [Web shellin tunnistaminen ja poistaminen](https://phpsos.de/fi/ratgeber/webshell-erkennen/): Miten löydätte takaovet PHP-verkkopalvelimilta tuhoamatta jälkiä ja miksi pelkkä poistaminen riittää harvoin. - [WordPressin takaoven löytäminen: takaovien järjestelmällinen etsintä](https://phpsos.de/fi/ratgeber/backdoor-wordpress-finden/): Missä takaovet tyypillisesti piilottelevat WordPressissä ja miten ylläpitäjät löytävät ne järjestelmällisesti WP-CLI:llä ja muutamalla komennolla. - [php.ini turvallisesti](https://phpsos.de/fi/ratgeber/php-ini-sicher-konfigurieren/): Mitkä php.ini-asetukset pienentävät hyökkäyspintaa, miten suojaatte ne ylikirjoittamiselta ja mitä PHP2Shellin jälkeen pätee lisäksi. - [PHP disable_functions oikein käytettynä](https://phpsos.de/fi/ratgeber/disable-functions/): disable_functions-asetuksella estätte riskialttiita PHP-funktioita. Näin määrittelette luettelon sovelluksellenne sopivaksi lamauttamatta verkkosivustoa. - [open_basedir ja sivustokohtainen eristys](https://phpsos.de/fi/ratgeber/open-basedir/): Näin open_basedir, omat järjestelmäkäyttäjät ja erilliset PHP-FPM-poolit estävät, että yhteen verkkosivustoon tehty murto osuu kaikkiin muihin palvelimella. - [Verkkopalvelimen tiedosto-oikeudet](https://phpsos.de/fi/ratgeber/dateirechte-webserver/): Miksi verkkopalvelin ei saa muuttaa omaa koodiaan, mitkä oikeudet sopivat tiedostoille ja kansioille ja miten tarkistatte nykytilan nopeasti. - [composer audit: riippuvuuksien haavoittuvuuksien tarkistus](https://phpsos.de/fi/ratgeber/composer-abhaengigkeiten-pruefen/): Miten kehittäjät löytävät composer auditilla kirjastojen tunnetut tietoturva-aukot, automatisoivat tarkistuksen ja välttävät tyypilliset virheet deploymentissa. - [PHP End of Life: vanhentuneiden versioiden riskit](https://phpsos.de/fi/ratgeber/php-end-of-life-risiken/): Mitä PHP-version tuen päättyminen tarkoittaa, mitkä haarat saavat PHP2Shellin jälkeen yhä viralliset korjaukset ja miten siirtymästä tulee hallittava. - [SQL-injektion estäminen PHP:ssä](https://phpsos.de/fi/ratgeber/sql-injection-php/): Miten kehittäjät sulkevat SQL-injektion luotettavasti pois PHP-sovelluksista Prepared Statementeilla, sallittujen arvojen luetteloilla ja minimaalisilla tietokanta-oikeuksilla. - [XSS:n estäminen PHP:ssä: Cross-Site Scriptingin turvallinen torjunta](https://phpsos.de/fi/ratgeber/xss-php/): Miten kehittäjät estävät Cross-Site Scriptingin PHP-sovelluksissa: yhteyden mukainen koodaus, automaattinen escapointi malleissa, HTML:n puhdistus ja Content Security Policy. - [Tiedostolataukset turvallisesti PHP:ssä: PHP-latausten tietoturva](https://phpsos.de/fi/ratgeber/datei-upload-sicher/): Latauslomakkeet ovat yleinen reitti web shelleille. Näin tarkistatte tiedostotyypit oikein, tallennatte tiedostot turvallisesti ja estätte palvelinta suorittamasta ladattuja skriptejä. - [Istuntojen suojaaminen PHP:ssä: PHP-istuntojen tietoturva käytännössä](https://phpsos.de/fi/ratgeber/session-sicherheit-php/): Istunnot pitävät käyttäjät kirjautuneina ja ovat siksi houkutteleva kohde. Näin määritätte evästeet, istuntotunnukset ja tallennuspaikat turvallisesti ja toteutatte PHP2Shellin Upload Progress -ohjeen. - [Turvaton deserialisointi PHP:ssä: unserialize ja tietoturva](https://phpsos.de/fi/ratgeber/deserialisierung-php/): unserialize() vierailla tiedoilla voi pahimmillaan johtaa koodin suoritukseen. Näin korvaatte sen JSON:lla, rajaatte sen siellä, missä sen on pakko jäädä, ja löydätte riskialttiit kohdat koodista. - [Local File Inclusionin estäminen PHP:ssä: LFI ja RFI](https://phpsos.de/fi/ratgeber/lfi-rfi/): Kun include tai require ottaa polun pyynnöstä, hyökkääjät voivat ladata vieraita tiedostoja. Näin rakennatte sivunvalinnan ja mallit turvallisesti ja suojaatte palvelimen lisäksi. - [Ylläpidon kirjautumisten suojaaminen Brute Forcelta: Brute Force -suoja jokaiselle kirjautumiselle](https://phpsos.de/fi/ratgeber/brute-force-login-schutz/): Automatisoidut salasanayritykset osuvat jokaiseen tavoitettavaan kirjautumissivuun. Näin hidastatte hyökkääjiä Rate Limitingillä ja Fail2banilla, suojaatte tilit toisella tekijällä ja tallennatte salasanat oikein. - [DDoS vai hakkerihyökkäys? Hyökkäysten oikea arviointi](https://phpsos.de/fi/ratgeber/ddos-oder-exploit/): Hidas verkkosivusto, korkea kuormitus, oudot tiedostot: se, onko takana DDoS vai murto, ratkaisee oikean reaktion. Näin arvioitte tilanteen muutamalla tarkistuksella. - [Verkkopalvelimen lokien analysointi hyökkäyksen jälkeen: pääsylokin oikea lukeminen](https://phpsos.de/fi/ratgeber/logfiles-auswerten/): Lokitiedostot ovat hyökkäyksen jälkeen usein tärkein jälki. Näin varmistatte pääsy-, virhe- ja PHP-lokit oikein, löydätte huomiota herättävät pyynnöt ja vältätte tyypilliset virheet analyysissa. - [Kaksivaiheisen tunnistautumisen käyttöönotto ylläpitotunnuksille](https://phpsos.de/fi/ratgeber/zwei-faktor-admin/): Varastettu salasana ei saa riittää palvelimenne tai verkkokauppanne haltuunottoon. Näin valitsette sopivan menetelmän, suojaatte kaikki ylläpitopääsyt ja suunnittelette varapääsyt. - [Palvelimen varmuuskopiostrategia: varmuuskopiot 3-2-1-säännön mukaan](https://phpsos.de/fi/ratgeber/backups-3-2-1/): Varmuuskopio auttaa vain, jos se selviää hyökkäyksestä ja sen voi palauttaa. Näin toteutatte 3-2-1-säännön verkkopalvelimille ja suunnittelette säilytyksen ja testit oikein. - [Security Header -otsakkeet verkkosivustoille: tietoturvaotsakkeiden oikea asetus](https://phpsos.de/fi/ratgeber/sicherheits-header/): Tietoturvaotsakkeet ohjeistavat selainta suojaamaan kävijöitänne paremmin. Näin asetatte tärkeimmät otsakkeet Nginxissä ja Apachessa, otatte Content Security Policyn käyttöön vaiheittain ja tarkistatte tuloksen. - [Googlen varoituksen ”Tämä sivusto on murrettu” poistaminen](https://phpsos.de/fi/ratgeber/google-warnung-entfernen/): Hakutuloksissa näkyvä murtovaroitus maksaa kävijöitä ja luottamusta. Näin puhdistatte verkkosivuston perusteellisesti, löydätte piilotetut roskapostisivut ja pyydätte uudelleentarkistuksen Search Consolessa. - [Tarkistuslista murron jälkeen: 20 kohtaa jälkikäsittelyyn](https://phpsos.de/fi/ratgeber/checkliste-nach-dem-hack/): Hyökkäyksen jälkeen oikea järjestys ratkaisee. Tämä tarkistuslista opastaa 20 kohdassa rajauksen, todisteiden varmistuksen, puhdistuksen, uusien pääsyjen, velvoitteiden ja dokumentoidun päättämisen läpi.