# White-label IT-varnost: varnostni partner za agencije

> Veliko strank, različni ponudniki gostovanja, en dan popravkov: delamo za agencije v ozadju, popravljamo, čistimo in dokumentiramo pod vašim vodstvom.

Vir: https://phpsos.de/sl/branchen/agenturen-white-label/  
Stanje: 25.10.2026  
Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6

**Na kratko:** White-label IT-varnost za vašo agencijo pomeni: ohranite odnos s stranko, mi v ozadju opravimo varnostno delo. Pri PHP2Shell to pomeni popis vseh strankinih spletnih strani, razvrščanje po tveganju, popravek in ponovni zagon za vsak strežnik ter dokazilo za vsako stranko, ki ga lahko posredujete.

## Zakaj so agencije pri PHP2Shell pod posebnim pritiskom

Agencija z veliko strankami redko vzdržuje enotno okolje. Del strani leži na lastnih strežnikih s Pleskom, del pri ponudnikih gostovanja strank, nekateri stari projekti na različicah PHP, ki že zdavnaj ne prejemajo več uradnih posodobitev. Dodajo se različni sistemi: WordPress, TYPO3, Shopware, [Craft CMS](https://phpsos.de/sl/plattformen/craft-cms/), lastni razvoj na Laravelu.

Pri ranljivosti v samem PHP so prizadeti vsi projekti hkrati. Stranke pričakujejo odgovor, ali je njihova stran varna, projektna ekipa pa je zasedena s tekočimi naročili. Številne vzdrževalne pogodbe urejajo CMS, ne pa strežnika pod njim.

Dodajo se sistemi, ki se v nobenem seznamu projektov več ne pojavljajo: staging okolja na poddomenah, kampanjske strani iz zaključenih projektov, testne namestitve razvijalcev na lastnih vServerjih. Pogosto tečejo na starejših različicah PHP, niso nadzorovani in kljub temu nosijo ime vaše agencije ali vaše stranke. Za samodejna skeniranja so enako vidni kot glavna stran.

## Katera vprašanja zdaj zastavljajo vaše stranke

- Ali je moja spletna stran prizadeta in je medtem že popravljena?
- Ali je bilo pred popravkom že kaj vneseno?
- Ali posodobitev CMS velja kot zaščita? Ne, posodobitev CMS ranljivosti PHP ne zapre.
- Ali moram spletno stran odklopiti z omrežja? BSI (nemški zvezni urad za informacijsko varnost) to priporoča za strežnike, ki jih ni mogoče takoj posodobiti.

Na vsako od teh vprašanj vaša agencija potrebuje dokazljiv odgovor za vsako stranko, ne pa skupnega e-sporočila s splošnimi izjavami.

## Kako poteka white-label IT-varnost za agencije

Delamo kot del vaše ekipe, a brez lastnega stika s strankami. Delitev je jasna:

| Naloga | Vaša agencija | PHP SOS |
|---|---|---|
| Komuniciranje s strankami in obračun | da | ne |
| Popis vseh strankinih spletnih strani s stanjem PHP | zagotovi dostope | pripravi in vzdržuje |
| Popravek, ponovni zagon, preverjanje za vsak strežnik | odobri okno vzdrževanja | izvede ali usklajuje s ponudniki gostovanja |
| Preverjanje ogroženosti | prejme izvid | išče webshelle in nepravilnosti |
| Dokazilo za vsako stranko | posreduje naprej | pripravi nevtralno ali v vaši obliki |

Pri straneh pri tujih ponudnikih gostovanja pridobimo potrditev stanja paketa. Prikazana številka različice sama ne zadošča, ker jo lahko backporti pustijo nespremenjeno.

> **Pomembno:**
> Najprej dajte prednost strežnikom z Apache in mod_php, kjer ekipa PHP tveganje ocenjuje najvišje, nato trgovinam in stranem s prijavami, nato projektom na PHP 8.1 in starejšem. Statične stare projekte, ki jih nihče več ne potrebuje, raje izklopite, kot da bi jih popravljali.

## Več strankinih strani na enem strežniku: preveriti izolacijo

Na strežnikih agencij si pogosto veliko strankinih strani deli en računalnik. Če je ena od njih ogrožena, ločitev odloča o tem, ali napadalec pride tudi do drugih. Pomembni so lastni sistemski uporabniki in pooli PHP-FPM za vsako spletno stran, urejene pravice datotek in omejitve, kot je [open_basedir](https://phpsos.de/sl/ratgeber/open-basedir/). Na [strežnikih Plesk](https://phpsos.de/sl/server/plesk/) je te nastavitve mogoče preveriti za vsako naročnino.

Po popravku velja: znova zaženite vse poole in workerje. Šele potem v pomnilniku ne tečejo več stari procesi PHP. Dnevniki od 20. 10. 2026 naj se hranijo za vsako strankino stran.

## Obveščanje strank: kaj je dokazano in kaj ne

Največja skušnjava v tem položaju je pomirjujoče skupno sporočilo. Varnejša je izjava za vsako stranko, ki vsebuje samo, kar je dokazano: kateri strežnik, katero stanje paketa PHP, kdaj znova zagnano, ali je bilo opravljeno preverjanje ogroženosti in s kakšnim rezultatom. Kar je še odprto, je prav tako navedeno.

Formulacij, kot je „Vaša stran je varna“, se raje izogibajte. Popravek ranljivost zapre, a ne dokazuje, da prej ni bilo nič narobe. Kdor to pošteno loči, pozneje ni v dolžnosti pojasnjevanja, če se vseeno pojavi izvid.

## Vzdrževalne pogodbe po PHP2Shell na novo oblikovati

Številne pogodbe agencij urejajo posodobitve CMS-ja in razširitev, o strežniku pa molčijo. Izkoristite položaj in za vsako stranko določite, kdo posodablja PHP, kdo je odgovoren za ponovne zagone, kdo odloča ob incidentu in katere storitve se naročijo posebej. Sem sodi tudi dogovor o obdelavi osebnih podatkov z vsemi udeleženimi izvajalci. Pogodbeno oblikovanje razjasnite s svojim pravnim svetovanjem.

## Kako konkretno pomaga PHP SOS?

- Prevzamemo popis vseh strankinih spletnih strani z različico PHP, načinom delovanja, ponudnikom gostovanja in odgovornostjo.
- Prek naše [storitve popravljanja PHP](https://phpsos.de/sl/leistungen/php-patch-service/) popravimo vaše lastne strežnike, znova zaženemo vse workerje in to dokažemo za vsako stranko.
- Prednostne strani preverimo glede ogroženosti in ob izvidu očistimo, dokler incident ni zaključen in dokumentiran.
- Dostavimo besedilne gradnike za obveščanje strank, ki jih prilagodite in sami pošljete.
- Nato na željo z [varnostno vzdrževalno pogodbo](https://phpsos.de/sl/leistungen/security-wartungsvertrag/) prevzamemo stalno varnostno oskrbo v ozadju.


## Pogosta vprašanja

**Ali nastopate nasproti našim strankam?**  
Samo če to želite. V modelu white-label delamo izključno v ozadju in vse komuniciranje poteka prek vaše agencije. Dokumentacijo dostavimo nevtralno ali v vaši obliki.

**Ali za to potrebujemo pogodbo o obdelavi osebnih podatkov?**  
Če dostopamo do sistemov z osebnimi podatki vaših strank, je praviloma potreben dogovor o obdelavi osebnih podatkov, pogosto kot podobdelava. Kako se to ujema z vašimi obstoječimi pogodbami, razjasnite s svojim pravnim svetovanjem. Potrebne podatke o naših dejavnostih zagotovimo.

**Kaj pa strankine spletne strani, katerih strežnikov sploh ne upravljamo?**  
Če spletne strani strank ležijo pri tujih ponudnikih gostovanja, v vašem imenu ali z vašimi predlogami pridobimo potrditve o stanju popravkov in ponovnem zagonu. Kjer obstaja le dostop FTP ali CMS, preverimo, kaj je od tam mogoče, in odkrito označimo, kaj lahko dokaže samo ponudnik gostovanja.

**Ali lahko to po PHP2Shell trajno oddamo zunanjemu izvajalcu?**  
Da. Številne naloge se ob vsaki ranljivosti ponovijo: vzdrževanje popisa, nameščanje popravkov, dokazovanje ponovnih zagonov, javljanje nepravilnosti. To delo je mogoče organizirati kot stalno oskrbo v ozadju.

## Viri

- [php.net: varnostna obvestila](https://www.php.net/)
- [php.net: podprte različice](https://www.php.net/supported-versions.php)
- [BSI: opozorila in priporočila](https://www.bsi.bund.de/)