# Sigurnosni ugovor o održavanju web-stranica i poslužitelja

> Ugovor o održavanju web-stranice sa sigurnošću: ažuriranja, testirane sigurnosne kopije, nadzor i jasne odgovornosti za web-stranice i poslužitelje.

Izvor: https://phpsos.de/hr/leistungen/security-wartungsvertrag/  
Stanje: 25.10.2026  
Pružatelj: PHP SOS, PHP hitna pomoć i sigurnost poslužitelja. Hitna pomoć putem WhatsAppa: https://wa.me/491736494914?text=Pozdrav%20PHP%20SOS%2C%20trebamo%20pomo%C4%87%20s%20na%C5%A1im%20PHP%20poslu%C5%BEiteljem.%20Tvrtka%3A%20%E2%80%A6%20Web-stranica%3A%20%E2%80%A6

**Ukratko:** Ugovor o održavanju web-stranice sa sigurnosnim naglaskom brine da ažuriranja, sigurnosne kopije i nadzor ne ovise o slučaju. Trajno skrbimo o Vašim web-stranicama i PHP poslužiteljima, održavamo stanje aktualnim, testiramo oporavak i postupamo prema dogovorenom tijeku kad postane poznata nova ranjivost. Redovito dobivate razumljivo izvješće.

## Zašto sigurnost pripada u ugovor o održavanju web-stranice

Mnogi ugovori o održavanju pokrivaju ažuriranja CMS-a i tu završavaju. PHP2Shell je pokazao da to nije dovoljno: ranjivosti CVE-2026-109618 i CVE-2026-109619 nalaze se u samom PHP-u, a ne u CMS-u. Ažuriranje WordPressa ili Shopwarea ih ne zatvara. Tko održava samo CMS, nema na vidiku stvarnu opasnost.

Tome se pridodaje čimbenik vremena. Između prethodne najave php.net-a 20. 10. 2026. i objave zakrpa 21. 10. prošao je jedan dan, a prema medijskim izvješćima već je 17. 10. bio uočen prvi pokušaj napada. U takvim situacijama pomaže samo tijek koji je unaprijed utvrđen i netko tko ima pristup i zna koji su sustavi pogođeni. Tko tek u ozbiljnom slučaju traži pristupne podatke, zove davatelje usluga i razjašnjava odgovornosti, gubi upravo vrijeme koje napadači koriste.

Jedna se točka često podcjenjuje: sigurnosne kopije koje nikad nisu vraćene su obećanje bez dokaza. Tek test oporavka pokazuje je li kopija potpuna i koliko stvarno traje povratak u rad.

## Za koga se isplati sigurnosni ugovor o održavanju

Ugovor o održavanju sa sigurnosnim naglaskom odgovara prije svega tvrtkama čija je web-stranica ili shop poslovno kritičan, a nemaju vlastitu administraciju poslužitelja i PHP-a. Tipični su internetski trgovci, ordinacije, odvjetnički uredi i srednje tvrtke s portalima za klijente, ali i javna tijela s više web-nastupa.

Jednako je smislen kad je odgovornost danas raspodijeljena na mnoga ramena: agencija je izradila web-stranicu, pružatelj hostinga daje poslužitelj, bivši zaposlenik poznavao je pristupe. U takvim se konstelacijama u situacijama poput PHP2Shella brzo pokaže da nitko nije jednoznačno odgovoran. Ugovor stvara stalno mjesto koje zna i smije djelovati.

Za jednu manju web-stranicu bez obrazaca ili podataka klijenata može biti dovoljan skromniji opseg. To razjašnjavamo pri popisu stanja.

## Što sigurnosni ugovor o održavanju sadrži

- **Ažuriranja:** operacijski sustav, web-poslužitelj, PHP, CMS, proširenja i ovisnosti, po utvrđenom ritmu i dodatno kod kritičnih ranjivosti
- **Ponovno pokretanje i dokaz:** nakon PHP ažuriranja ponovno pokretanje svih workera s kontrolom da ne rade stari procesi
- **Sigurnosne kopije:** prema pravilu 3-2-1, s redovitim testom oporavka. Osnove su na stranici [Sigurnosne kopije prema pravilu 3-2-1](https://phpsos.de/hr/ratgeber/backups-3-2-1/).
- **Nadzor:** cjelovitost datoteka, prijave, procesi i zapisnici, kako je opisano u [Sigurnosni nadzor web-poslužitelja](https://phpsos.de/hr/leistungen/security-monitoring/)
- **Životni ciklus:** rano planiranje prije nego što verzija PHP-a dosegne kraj podrške, primjerice PHP 8.2 dana 31. 12. 2026.
- **Postupak za hitne slučajeve:** usklađeni koraci za ozbiljan slučaj, pristupi i kontakt osobe koji su u incidentu odmah poznati
- **Izvješće:** redoviti sažetak s instaliranim ažuriranjima, događajima i preporukama

## Tko je za što odgovoran?

Mnoge sigurnosne ranjivosti ne nastaju tehnički nego organizacijski: svatko misli da se netko drugi brine. Zato odgovornosti bilježimo pisano. Tipičan primjer:

| Zadatak | Pružatelj hostinga | Agencija | PHP SOS | Vi |
|---|---|---|---|---|
| Hardver, mreža, podatkovni centar | da | | | |
| Operacijski sustav i PHP ažuriranja | prema ugovoru | | da | |
| CMS i proširenja | | da | prema dogovoru | |
| Sadržaji i korisnički računi | | | | da |
| Nadzor i postupak za hitne slučajeve | | | da | odobrenja |

Stvarna raspodjela ovisi o Vašim ugovorima. Osobito kod upravljanih poslužitelja isplati se točno pogledati što pružatelj stvarno preuzima, vidi [Upravljani poslužitelj: razjasniti odgovornost](https://phpsos.de/hr/server/managed-server/). Agencije s mnogo stranica klijenata pronaći će odgovarajući model na stranici [Sigurnosni partner za agencije](https://phpsos.de/hr/branchen/agenturen-white-label/).

## Kako PHP SOS konkretno pomaže?

1. **Popis stanja:** Bilježimo sve web-stranice, poslužitelje, verzije, pristupe, sigurnosne kopije i postojeće ugovore.
2. **Početno osiguravanje:** Otvorena ažuriranja i poznate slabe točke prvo se zatvaraju prije nego što počne trajna skrb.
3. **Dogovor:** Pisano utvrđujemo opseg, ritam, odgovornosti i postupak za hitne slučajeve, uključujući pitanje kada Vas pitamo prije promjena.
4. **Trajna skrb:** Ažuriranja, sigurnosne kopije, nadzor i izvješća prema planu, kod kritičnih ranjivosti dodatno prema dogovorenom postupku za hitne slučajeve.
5. **Godišnja provjera:** Zajedno provjeravamo odgovara li ugovor još Vašem sistemskom okruženju.

## Što trebamo i što ne obećavamo

Trebamo trajne administrativne pristupe, kontakt osobu s ovlastima za odlučivanje, kontakt s pružateljem hostinga i agencijom te informacije o planiranim promjenama Vaših aplikacija. Pristupima upravljamo odvojeno za svakog klijenta i dokumentiramo tko ima pristup. Ako planirate promjene na svojim sustavima, primjerice novi shop, dodatnu web-stranicu ili promjenu pružatelja hostinga, javite nam rano kako bi ažuriranja, sigurnosne kopije i nadzor rasli zajedno s njima.

Ne obećavamo da Vaši sustavi nikada neće biti napadnuti. Ugovor o održavanju smanjuje rizik i brine da se u ozbiljnom slučaju djeluje brzo i uredno. Cijene i vremena odgovora ne navodimo paušalno, nego ih utvrđujemo nakon popisa stanja u ponudi. Kako ozbiljan slučaj dodatno organizacijski pripremiti, opisuje [Izrada IT plana za slučaj nužde za web-poslužitelje](https://phpsos.de/hr/compliance/notfallplan-erstellen/).


## Česta pitanja

**Što pripada u ugovor o održavanju web-stranice sa sigurnosnim naglaskom?**  
Najmanje ažuriranja poslužitelja, PHP-a, CMS-a i proširenja, redovite sigurnosne kopije s testom oporavka, sigurnosni nadzor i jasna regulacija za hitne slučajeve. Važno je i pisano utvrditi tko je za što odgovoran.

**Zamjenjuje li ugovor o održavanju moju agenciju ili pružatelja hostinga?**  
Ne nužno. Često radimo zajedno s agencijom i pružateljem hostinga te preuzimamo sigurnosni dio. Odlučujuće je da su odgovornosti raspoređene bez praznina i da ništa ne ostane ležati između sudionika.

**Što se događa kad postane poznata kritična ranjivost poput PHP2Shella?**  
Tada provjeravamo koji su Vaši sustavi pogođeni, instaliramo ažuriranja prema dogovorenom postupku ili postavljamo privremene mjere i obavještavamo Vas o stanju. Koliko brzo se to događa, zajednički utvrđujemo u ugovoru.

**Postoji li fiksna cijena?**  
Opseg ovisi o broju i vrsti Vaših sustava. Nakon popisa stanja izrađujemo ponudu koja točno opisuje što je uključeno.

## Izvori

- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: podržane verzije](https://www.php.net/supported-versions.php)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)