Stručne: Statický web pozostáva z hotových súborov HTML, CSS a obrázkov, ktoré webserver iba doručuje. Keďže na serveri nebeží PHP ani databáza, zraniteľnosti ako PHP2Shell, SQL injection alebo zavlečené webshelly ako riziko do veľkej miery odpadajú. Pre bezpečnosť statického webu sa počítajú iné veci: chránené prístupy k hostingu, doméne a build nástrojom, udržiavané závislosti a starostlivo vybrané cudzie služby. Hodí sa predovšetkým pre weby, ktoré sa menia zriedka a nepotrebujú zákaznícke účty.
Prečo sa otázka kladie práve teraz
PHP2Shell mnohým firmám ukázalo, koľko závisí od jedinej komponenty. Firemný web s desiatimi stránkami, ktorý sa aktualizuje raz za štvrťrok, bežal na rovnakom PHP ako veľký internetový obchod, a bol tak vystavený rovnakej kritickej zraniteľnosti. Podľa správ médií dokonca aj úrady a obce preventívne vypli weby.
Nasúva sa otázka: Potrebujeme pre svoj web vôbec PHP na serveri? Pri mnohých malých a stredných firmách znie úprimná odpoveď: na doručovanie často nie. PHP generuje stránku pri každom otvorení nanovo, hoci sa obsah týždne nezmenil. Ako to technicky prebieha, opisuje článok Ako PHP vytvára webovú stránku. Čo zraniteľnosť sama znamená, vysvetľuje článok Čo je PHP2Shell?.
Ako statický web funguje
Pri statickom webe sa stránka nevytvára pri návšteve, ale vopred. Generátor statických stránok, napríklad Hugo, Jekyll alebo Eleventy, vezme texty, obrázky a šablóny a postaví z nich hotové súbory. Tieto súbory sa nahrajú na jednoduchý webserver alebo do Content Delivery Network, teda distribuovanej doručovacej siete.
Pre redaktorov môže pred tým stáť nástroj na úpravy, ktorý prijíma zmeny a spúšťa nové zostavenie. Čiastočne sa na to používa takzvané headless CMS, ktoré spravuje iba obsah a samo nemusí byť verejne dostupné. Návštevník z toho nič nevidí; dostane iba hotové súbory.
Statický web a bezpečnosť v porovnaní
| Kritérium | Dynamické CMS na PHP | Statický web |
|---|---|---|
| Programová logika na verejnom serveri | Áno, pri každom otvorení | Nie |
| Riziko zraniteľností v interpreteri PHP | Áno, ako pri PHP2Shell | Na doručovacom serveri odpadá |
| Verejne pripojená databáza | Áno | Nie |
| Typické vstupné brány | Pluginy, administrátorské prihlásenie, nahrávanie, server | Prístupy k hostingu, doméne, build systému, cudzie služby |
| Formuláre, vyhľadávanie, zákaznícky účet | Zabudované | Iba cez externé služby alebo osobitné funkcie |
| Náročnosť údržby pre redaktorov | Nízka, zvyčajné rozhranie | Závisí od redakčného nástroja |
| Údržba | Pravidelné aktualizácie CMS, pluginov a PHP | Aktualizácie build nástrojov a závislostí |
| Vhodnosť | Obchody, portály, veľa redaktorov, časté zmeny | Firemné weby, vstupné stránky, dokumentácia |
Tabuľka ukazuje: Plocha útoku sa presúva, nemizne. Namiesto verejne dostupného servera s PHP musíte chrániť účet u poskytovateľa hostingu, doménu, build pipeline a prípadne redakčný nástroj.
Aké riziká pri statických weboch zostávajú
Po prvé prístupy. Kto prevezme účet hostingu, prístup k doméne alebo repozitár kódu, môže web zmeniť, a to úplne bez PHP. Dvojfaktorové prihlásenie a osobné účty sú preto povinnosťou.
Po druhé závislosti. Generátory a šablóny prinášajú často veľa balíkov, napríklad z npm. Tie sa musia udržiavať aktuálne, pretože kompromitovaná závislosť môže pri zostavovaní zapísať škodlivý kód do hotových súborov. Ako to zorganizovať, opisuje článok Udržiavanie závislostí aktuálnych.
Po tretie cudzie služby. Služby formulárov, vyhľadávania, analytické nástroje a zabudované skripty bežia v prehliadači návštevníkov alebo na cudzích serveroch. Každá z týchto služieb je vzťah dôvery, aj z hľadiska ochrany údajov.
Po štvrté strana prehliadača. Aj statická stránka by mala nastavovať bezpečnostné hlavičky, napríklad Content-Security-Policy, ktorá určuje, aké skripty sa smú načítať. Základy nájdete v článku Bezpečnostné hlavičky pre weby.
Pred prechodom preverte, aké funkcie váš web skutočne používa. Často je to menej, než by sa čakalo: stránky, obrázky, kontaktný formulár. Potom je cesta k statickému webu kratšia, než sa spočiatku zdá.
Pre koho sa prechod oplatí a pre koho nie
Statický web je vhodný pre firemné stránky prehľadného rozsahu, vstupné stránky kampaní, dokumentáciu produktov a stránky s kariérou. Prechod sa oplatí obzvlášť vtedy, ak doterajší web beží na starej verzii PHP a upgrade by bol aj tak na rade.
Menej sa hodí pre internetové obchody, zákaznícke portály, rezervačné systémy a weby s mnohými redaktormi, ktorí publikujú denne. Tu zostáva zmysluplný dynamický systém. Pomôcť môže zmiešaná forma: Obchod zostane dynamický a dobre spevnený, poradne a firemné stránky sa doručujú staticky.
Často podceňovaná výhoda sa ukáže v krízovej situácii. Keďže hotové súbory sa dajú kedykoľvek znova zostaviť zo šablón a obsahu, zmanipulovaný web sa dá rýchlo vrátiť na známy, čistý stav. Predpokladom je, že obsah a šablóny ležia v chránenom repozitári, zmeny sa dajú dohľadať v protokole a nikto súbory na serveri neupravuje priamo.
Dodávateľa bezpečnosti na prechod nutne nepotrebujete; môže to zvládnuť agentúra alebo vývojár. Ak bol doterajší web kompromitovaný, mal by sa však obsah pred prevzatím preveriť. Na to nadväzuje článok Zmeniť CMS po hacku?.
Ako konkrétne pomáha PHP SOS?
- Preverujeme, aké funkcie váš web skutočne potrebuje, a otvorene povieme, či sa statické riešenie hodí.
- Pri prechode zabezpečíme prístupy k hostingu, doméne a build systému dvojfaktorovým prihlásením a osobnými účtami.
- Cudzie služby preverujeme a nastavujeme bezpečnostné hlavičky, aby bol nový web dobre chránený aj v prehliadači.
- Pre zostávajúce systémy s PHP preberáme aktualizácie a monitorovanie v rámci bezpečnostnej servisnej zmluvy.
Záver
Statický web nie je všeliek, ale pre mnohé firemné stránky najjednoduchší spôsob, ako sa zbaviť celej triedy rizík. Tam, kde nebeží PHP, PHP2Shell nič nezmôže. Získaná bezpečnosť však vydrží, iba ak sa prístupy, závislosti a cudzie služby berú rovnako vážne, ako sa predtým bral server.
Časté otázky
Dá sa statický web napriek tomu hacknúť?
Áno. Odpadá logika na strane servera, a tým veľká trieda útokov. Napadnuteľné však zostávajú prístupy k hostingu, doméne a build systému, zabudované cudzie služby a nástroje, ktorými sa stránka generuje.
Môže mať statický web kontaktné formuláre?
Áno, cez externú službu formulárov alebo malú, osobitne prevádzkovanú funkciu. Spracovanie údajov potom prebieha u tejto služby. Vyjasnite ochranu údajov a spracúvanie v mene prevádzkovateľa skôr, než ju zabudujete.
Môžu redaktori statický web spravovať sami?
S vhodným redakčným nástrojom áno. Mnohé riešenia ponúkajú rozhranie na úpravy, z ktorého sa stránka potom vygeneruje znova. Pre tímy, ktoré denne menia veľa obsahu, je však klasické CMS často pohodlnejšie.
Oplatí sa prechod pre internetový obchod?
Väčšinou nie úplne. Košík, zákaznícky účet a platba potrebujú logiku na strane servera. Možné je doručovať staticky časti, ako sú poradne alebo firemné stránky, a obchod prevádzkovať osobitne.