Pe scurt: Securitatea IT white-label înseamnă pentru agenția dumneavoastră: păstrați relația cu clientul, iar noi facem în fundal munca de securitate. La PHP2Shell, asta înseamnă inventarul tuturor site-urilor clienților, prioritizare în funcție de risc, patch și repornire pe fiecare server și o dovadă pentru fiecare client, pe care o puteți transmite mai departe.
De ce sunt agențiile sub presiune deosebită la PHP2Shell
O agenție cu mulți clienți rareori întreține un peisaj uniform. O parte dintre site-uri se află pe servere proprii cu Plesk, o parte la furnizorii de hosting ai clienților, câteva proiecte vechi pe versiuni PHP care de mult nu mai primesc actualizări oficiale. La acestea se adaugă sisteme diferite: WordPress, TYPO3, Shopware, Craft CMS, dezvoltări proprii în Laravel.
La o vulnerabilitate în PHP însuși, sunt lovite toate proiectele simultan. Clienții așteaptă un răspuns dacă site-ul lor este sigur, iar echipa de proiect este încărcată cu comenzile în curs. Multe contracte de mentenanță reglementează CMS-ul, dar nu și serverul de dedesubt.
La acestea se adaugă sisteme care nu mai apar în nicio listă de proiecte: medii de staging pe subdomenii, pagini de campanie din proiecte încheiate, instalări de test ale dezvoltatorilor pe vServere proprii. Ele rulează adesea pe versiuni PHP mai vechi, nu sunt monitorizate și poartă totuși numele agenției dumneavoastră sau al clientului. Pentru scanările automate sunt la fel de vizibile ca site-ul principal.
Ce întrebări pun acum clienții dumneavoastră
- Este afectat site-ul meu și a fost între timp actualizat?
- S-a introdus ceva înainte de patch?
- Este actualizarea CMS-ului o protecție? Nu, o actualizare CMS nu închide vulnerabilitatea PHP.
- Trebuie să îmi scot site-ul de pe internet? BSI (Oficiul Federal German pentru Securitatea Informațiilor) o recomandă pentru serverele care nu pot fi actualizate imediat.
La fiecare dintre aceste întrebări, agenția dumneavoastră are nevoie de un răspuns demonstrabil pentru fiecare client, nu de un e-mail colectiv cu afirmații generale.
Cum decurge securitatea IT white-label pentru agenții
Lucrăm ca parte a echipei dumneavoastră, dar fără contact propriu cu clienții. Împărțirea este clară:
| Sarcină | Agenția dumneavoastră | PHP SOS |
|---|---|---|
| Comunicarea cu clienții și facturarea | da | nu |
| Inventarul tuturor site-urilor clienților cu versiunea PHP | furnizează accesurile | îl creează și îl întreține |
| Patch, repornire, verificare pe fiecare server | aprobă fereastra de mentenanță | execută sau coordonează cu furnizorii de hosting |
| Verificarea compromiterii | primește constatarea | caută webshell-uri și anomalii |
| Dovada pentru fiecare client | o transmite mai departe | o întocmește neutru sau în formatul dumneavoastră |
Pentru site-urile de la furnizori de hosting străini solicităm confirmarea versiunii pachetului. Numărul de versiune afișat nu este suficient, pentru că backporturile îl pot lăsa neschimbat.
Prioritizați mai întâi serverele cu Apache și mod_php, unde echipa PHP consideră riscul cel mai ridicat, apoi magazinele și site-urile cu autentificare, apoi proiectele pe PHP 8.1 și mai vechi. Proiectele vechi statice, de care nu mai are nevoie nimeni, mai bine le opriți decât să le actualizați.
Mai multe site-uri de clienți pe un server: verificați izolarea
Pe serverele agențiilor, multe site-uri de clienți împart adesea o mașină. Dacă unul este compromis, separarea decide dacă atacatorul ajunge și la celelalte. Importante sunt utilizatorii de sistem proprii și pool-urile PHP-FPM pentru fiecare site, drepturile de fișiere curate și limite precum open_basedir. Pe serverele Plesk, aceste setări pot fi verificate pentru fiecare abonament.
După patch se aplică: reporniți toate pool-urile și workerii. Abia atunci nu mai rulează procese PHP vechi în memorie. Logurile începând cu 20.10.2026 ar trebui păstrate pentru fiecare site de client.
Informarea clienților: ce este dovedit și ce nu
Cea mai mare tentație în această situație este un e-mail colectiv liniștitor. Mai sigură este o afirmație pentru fiecare client, care conține doar ce este dovedit: ce server, ce versiune a pachetului PHP, când a fost repornit, dacă a avut loc o verificare a compromiterii și cu ce rezultat. Ce este încă deschis figurează de asemenea în ea.
Formulări precum „site-ul dumneavoastră este sigur” este mai bine să le evitați. Un patch închide vulnerabilitatea, dar nu dovedește că nu s-a întâmplat nimic înainte. Cine face această separare cinstit nu va trebui mai târziu să dea explicații dacă totuși apare o constatare.
Reformulați contractele de mentenanță după PHP2Shell
Multe contracte ale agențiilor reglementează actualizările CMS-ului și ale extensiilor, dar tac în privința serverului. Folosiți situația pentru a consemna, pentru fiecare client, cine actualizează PHP, cine răspunde de reporniri, cine decide la un incident și ce servicii se comandă separat. Face parte din aceasta și un acord de prelucrare a datelor cu toți prestatorii implicați. Configurarea contractuală o clarificați cu consultanța dumneavoastră juridică.
Cum ajută PHP SOS concret?
- Preluăm inventarierea tuturor site-urilor clienților, cu versiune PHP, mod de operare, furnizor de hosting și responsabilitate.
- Prin serviciul nostru de patch PHP actualizăm serverele dumneavoastră proprii, repornim toți workerii și dovedim acest lucru pentru fiecare client.
- Verificăm site-urile prioritizate pentru compromitere și curățăm în caz de constatare, până când incidentul este încheiat și documentat.
- Livrăm module de text pentru informarea clienților dumneavoastră, pe care le adaptați și le trimiteți singuri.
- Apoi, la cerere, preluăm printr-un contract de mentenanță de securitate întreținerea continuă a securității, în fundal.
Întrebări frecvente
Apăreți în fața clienților noștri?
Doar dacă doriți. În modelul white-label lucrăm exclusiv în fundal, iar toată comunicarea trece prin agenția dumneavoastră. Documentația noastră o livrăm neutră sau în formatul dumneavoastră.
Avem nevoie pentru asta de un contract de prelucrare a datelor?
Dacă accesăm sisteme cu date cu caracter personal ale clienților dumneavoastră, este de regulă necesar un acord de prelucrare a datelor, adesea ca subprelucrare. Cum se încadrează în contractele dumneavoastră existente clarificați cu consultanța juridică. Noi punem la dispoziție informațiile necesare despre activitățile noastre.
Ce facem cu site-urile clienților ale căror servere nu le administrăm?
Dacă site-urile clienților se află la furnizori de hosting străini, solicităm în numele dumneavoastră sau cu modelele dumneavoastră confirmări privind versiunea patchului și repornirea. Acolo unde există doar acces FTP sau CMS, verificăm ce este posibil de acolo și marcăm deschis ce poate dovedi doar furnizorul de hosting.
Putem externaliza permanent acest lucru și după PHP2Shell?
Da. Multe sarcini se repetă la fiecare vulnerabilitate: întreținerea inventarului, aplicarea patchurilor, dovedirea repornirilor, raportarea anomaliilor. Această muncă poate fi organizată ca întreținere continuă în fundal.