Bezpečnostní audit webu a penetrační testování před spuštěním. Co musíte vědět

Spouštíte nový web, e-shop nebo aplikaci? První den v ostrém provozu bývá zkouškou ohněm – nejen pro vaše servery, ale i pro reputaci. Opravovat díry po útoku je vždy nesrovnatelně dražší než jakákoli prevence. Základní bezpečnostní prověrku přitom zvládnete z velké části sami a bez zbytečných nákladů.

Kreslený pes v klobouku sedí klidně v hořící místnosti a říká This is fine, zatímco kolem něj šlehají plameny

Proč dělat audit před spuštěním, a ne až po incidentu

Oprava po útoku je vždy dražší než prevence. Průměrný únik dat stojí celosvětově 4,99 milionu dolarů. U menšího českého e-shopu se náklady pohybují v jiných řádech, ale skládají se ze stejných položek:

výpadek prodeje,
práce vývojářů na obnově,
forenzní analýzy,
komunikace se zákazníky
a případných pokut za únik osobních údajů.

Součet snadno přesáhne klidně stovky tisíc korun. Základní audit před spuštěním přitom zvládnete z velké části vlastními silami a zdarma.

Podceňovat se nevyplácí ani legislativu. Nový zákon o kybernetické bezpečnosti (č. 264/2025 Sb., transponující směrnici NIS2) a související vyhláška (č. 408/2025 Sb.) zpřísnila nároky v odhadu na více než 6 000 subjektů (reálně se k 8. 2. 2026 ohlásilo 4 825 organizací) – včetně řady e-commerce projektů. I když váš web pod tuto regulaci nespadá, povinnosti vůči GDPR a odpovědnost za data vašich zákazníků platí bez výjimky.

Mohlo by se tematicky hodit: Bezpečnostní checklist pro strýčka příhodu

Sken, penetrační testování, nebo audit? V čem je rozdíl

Nezaměňujte pojmy. Každá kontrola jde do jiné hloubky a vyžaduje odlišné investice.

Typ kontroly	Jak funguje	Hlavní výhoda	Kdy zvolit	Orientační cena
Automatizovaný sken	Nástroj automaticky porovná web s databází známých chyb.	Rychlost a nulové nebo nízké náklady.	Průběžná kontrola a nutné minimum před spuštěním.	Zdarma až nižší tisíce Kč/měsíc
Penetrační test (Pentest)	Etický hacker simuluje reálný útok a hledá logické díry.	Odhalí složité chyby v byznys logice a API.	Weby zpracovávající platby a citlivá data.	60 000 – 150 000 Kč
Bezpečnostní audit	Komplexní revize technologií, procesů, záloh a přístupů.	Pokrývá celou infrastrukturu i lidský faktor.	Regulované subjekty, větší firmy a korporace.	Desítky až stovky tisíc Kč

Automatizovaný sken zranitelností

Funguje jednoduše: nástroj projede váš web a porovná ho se seznamem známých děr a chyb v nastavení. Bez přemýšlení, bez kontextu – prostě kontrolní seznam.

Plus je zde rychlost a cena. Spousta skenerů je totiž zdarma, ty komerční vyjdou na nižší tisíce měsíčně. Naopak mínus je fakt, že najdou jen to, co mají uložené v databázi. Když je zranitelnost nová nebo specifická pro váš web, sken ji přejde bez povšimnutí.

Berte to jako pravidelnou preventivní prohlídku a jako první krok, než pustíte nový web mezi lidi.

Penetrační testování (pentest)

U penetračního testu sedí na druhé straně člověk. Specialista, který má metodiku, používá stejné nástroje jako útočník a přidává k nim vlastní hlavu. Hledá i věci, na které sken nikdy nepřijde – že se dá například obejít oprávnění a dostat se do cizího účtu, nebo že v platebním procesu jde přeskočit krok, že API vydává data, která by vydávat nemělo a jiné.

Výstupem je zpráva:

co se našlo,
jak je to vážné
a co se s tím dá dělat.

Není to levné. U menší webové aplikace počítejte zhruba s pěti mandays (člověkodny), tedy 60 až 70 tisíc korun. U rozsáhlejší aplikace s API to bude spíš 10 až 12 dnů a 125 až 150 tisíc.

Bezpečnostní audit

Audit jde ještě o kus dál. Netestuje jen techniku, ale i to, jak firma funguje. Kdo má od čeho klíče. Jestli se zálohy někdy zkoušely obnovit, nebo se jen tiše dělají. Kdo aktualizuje a jak často. Co se stane v pátek večer nebo v pondělí ráno, když přijde incident.

U firem, na které dopadá zákon o kybernetické bezpečnosti, se audit navíc drží jeho požadavků. Cena se odvíjí od velikosti organizace a začíná v desítkách tisíc, u větších firem jde do stovek.

Co si z toho odnést: sken a checklist níže patří ke každému spuštění webu, bez výjimky. Pentest má smysl tam, kde jde o peníze nebo o osobní údaje ve větším množství. Audit řešte, když vás k němu tlačí zákon nebo klient.

Checklist před spuštěním: 7 vrstev ochrany

Tento seznam projděte krok za krokem ještě před překlopením webu do ostrého provozu.

1. HTTPS a konfigurace TLS:

Vynutit HTTPS pro celý web; HTTP přesměrovat trvalým kódem 301.
Zajistit platnost certifikátu pro hlavní doménu i subdomény s automatickou obnovou.
Povolit pouze moderní protokoly TLS 1.2 a TLS 1.3 (starší protokoly nekompromisně vypnout).
Odstranit veškerý nešifrovaný obsah (mixed content).

2. Bezpečnostní hlavičky (Security Headers):

HSTS: Vynutit HTTPS na straně prohlížeče (max-age=31536000).
Content Security Policy (CSP): Definovat povolené zdroje skriptů (začít v režimu Report-Only).
X-Content-Type-Options: Nastavit na nosniff.
Referrer-Policy: Zvolit bezpečný standard strict-origin-when-cross-origin.
X-Frame-Options / frame-ancestors: Zamezit zneužití v cizích rámech (ochrana proti clickjackingu).

3. Aktualizace a závislosti:

Aktualizovat jádro CMS, šablony i doplňky. Nepoužívané moduly okamžitě smazat.
Spustit audit závislostí u vlastního kódu (npm audit pro Node.js, composer audit pro PHP).
Ověřit, že používaná verze PHP či runtime má stále aktivní bezpečnostní podporu.

4. Přístupy a správa identit:

Vygenerovat unikátní silná hesla pro administraci, databázi i server.
Aktivovat dvoufaktorové ověření (2FA) na všech úrovních.
Uplatnit princip nejnižších nutných práv. Zrušit výchozí účty typu admin.
Zabezpečit přístup na server pomocí SSH klíčů (vypnout přihlašování heslem).
Uložit API klíče a tajné údaje do souboru .env mimo veřejný kořenový adresář.

5. Zálohování a test obnovy:

Nastavit automatické zálohování souborů i databáze (u e-shopů minimálně 1× denně).
Ukládat zálohy mimo produkční server i mimo stejné datacentrum.
Provést testovací obnovu: Nasaďte zálohu do nanečisto vytvořeného prostředí. Netestovaná záloha neexistuje.

6. Logování a monitoring:

Uchovávat přístupové a chybové logy po dobu minimálně 30 dnů.
Monitorovat neúspěšná přihlášení do administrace.
Nastavit hlídání dostupnosti (uptime) a exspirace SSL certifikátů.

7. GDPR a ochrana soukromí:

Zveřejnit transparentní zásady zpracování osobních údajů.
Zprovoznit cookie lištu, která blokuje analytické skripty až do získání aktivního souhlasu.
Ošetřit smluvní vztahy o zpracování dat se všemi dodavateli a hostingem.

Freelo - Nástroj na řízení úkolů a projektů

Přidej se, pozvi svůj tým a klienty, rozděl práci a sleduj, jak se úkoly dají do pohybu.

Ověřené bezplatné nástroje pro kontrolu webu

Pro základní diagnostiku vlastních projektů využijte tyto uznávané nástroje:

SSL Labs Server Test (ssllabs.com): Cílem je hodnocení A nebo A+.
Security Headers (securityheaders.com): Blesková kontrola HTTP hlaviček a rychlý výpis.
MDN HTTP Observatory: Hloubková analýza a skóre zabezpečení webu s konkrétními doporučeními.
OWASP ZAP: Skvělý nástroj pro pasivní testování aplikací. Pro rychlý baseline scan použijte příkaz: docker run -t ghcr.io/zaproxy/zaproxy:stable zap-baseline.py -t (https://vas-web.examplecz)

Výstupy z těchto nástrojů berte jako seznam k prověření, ne jako rozsudek. Ne každý nález je v kontextu vašeho webu skutečné riziko, ale každý byste měli umět vysvětlit.

Kdy objednat profesionální penetrační testování

Vlastními silami zvládnete konfiguraci a známé díry. Na profesionála dojde, až když platí něco z tohohle:

přes web tečou platby nebo citlivé osobní údaje,
máte API, na kterém stojí mobilní aplikace nebo partneři,
spadáte pod zákon o kybernetické bezpečnosti a testy musíte doložit,
spouštíte aplikaci šitou na míru – tam sken logické chyby nenajde.

Na co se ptát dodavatele

Podle jaké metodiky testujete? U webů by měla padnout OWASP Web Security Testing Guide a OWASP Top 10:2026. Kdo vám na tuhle otázku odpoví obecně, testuje nejspíš taky obecně.

Co přesně budete testovat a s jakými přístupy? Ujasněte si předem rozsah (web, API, infrastruktura) i formu. Black box znamená, že tester neví nic – jde na to jako útočník zvenku. Grey box mu dá běžný uživatelský účet. White box i zdrojové kódy. Pro e-shop je většinou nejužitečnější grey box: napodobí zákazníka, který zkouší, kam všude se dostane.

Můžete ukázat reference z podobných projektů? A rovnou se ptejte na certifikace testerů, například OSCP nebo CEH.

Je v ceně retest? Po opravě nálezů má někdo ověřit, že opravy fungují. Domluvte to dopředu, ne až potom.

Zpráva, kterou dostanete, má být čitelná: co se našlo, jak je to vážné, co se stane, když to necháte být, a co s tím. Když přijde padesát stránek vysypaných ze skeneru bez jediného komentáře, zaplatili jste za něco, co si umíte udělat sami.

Co z checklistu vyřeší hosting

Část položek se týká serveru, ne samotného webu. Právě tady rozhoduje, jaký hosting si vyberete:

Aktualizace serveru: operační systém, PHP a další software musí dostávat bezpečnostní záplaty. U spravovaného VPS to hlídá poskytovatel.
Firewall a ochrana přístupů: správně nastavený firewall, ochrana proti opakovaným pokusům o přihlášení a zabezpečený vzdálený přístup.
Zálohy mimo server: automatické zálohy do geograficky oddělené lokality včetně možnosti obnovy.
Monitoring a logy: dohled nad dostupností serveru a přístup k logům, když potřebujete něco dohledat.

U Váš Hosting tyhle serverové vrstvy vyřešíte VPS se správou – volitelnou službou, kdy se o aktualizace systému, firewall, zálohy i dohled stará náš technický tým. Ten spravuje více než 2 100 serverů v českých datacentrech, s nonstop podporou. Vy se přes VPS Centrum staráte o weby, domény, e-maily a databáze – tedy o vrstvy, které zná nejlépe váš tým. Checklist se tím zkrátí zhruba o třetinu a zbytek máte pod kontrolou v jedné administraci.

Vyzkoušejte si VPS s VPS Centrem na týden zdarma. Bez nutnosti zadávat platební kartu.

Často kladené otázky

Kolik stojí penetrační testování webu?

Na českém trhu se cena odvíjí od rozsahu v člověkodnech. Menší webová aplikace vyjde zhruba na 5 člověkodnů, tedy kolem 60 až 70 tisíc Kč. Větší aplikace s API stojí obvykle 125 až 150 tisíc Kč. Do ceny si vyžádejte i retest po opravách.

Stačí mi automatizovaný sken místo penetračního testu?

Pro menší prezentační web ano: sken plus checklist z tohoto článku pokryjí hlavní rizika. Jakmile web zpracovává platby, citlivé údaje nebo běží na aplikaci psané na míru, sken nestačí, protože nenajde logické chyby v oprávněních a procesech. Tam patří penetrační test.

Jak často bezpečnostní audit opakovat?

Checklist projděte před spuštěním a poté při každé větší změně webu. Automatizované kontroly (skeny, npm audit, composer audit) zapojte do CI, ať běží průběžně. Penetrační test se u aplikací s citlivými daty obvykle opakuje jednou ročně nebo po významné změně.

Týká se mě NIS2, když provozuji e-shop?

Záleží na velikosti a oboru. Nový zákon o kybernetické bezpečnosti (264/2025 Sb.) dopadá na více než 6 000 organizací podle kritérií vyhlášky č. 408/2025 Sb. Malých e-shopů se většinou netýká, středních a velkých firem v regulovaných odvětvích ano. Pro organizace, které kritéria splňovaly k 1. 11. 2025, uplynula lhůta k ohlášení 31. 12. 2025. Kdo je splní později, má na ohlášení 60 dnů. Za nesplnění povinností hrozí pokuta až 175 milionů korun (režim nižších povinností), respektive až 250 milionů korun (režim vyšších povinností), nebo procento z obratu.

Můžu si penetrační test udělat sám nástrojem OWASP ZAP?

Na vlastním webu ano, baseline scan je bezpečný a pasivní. Získáte tím ale automatizovanou kontrolu, ne penetrační test. Plnohodnotný pentest vyžaduje zkušeného testera a u cizích webů vždy písemný souhlas majitele.

VPS Centrum

Vyzkoušejte zdarma naši aplikaci pro správu serveru a domén. Budete si připadat jako zkušený administrátor.

Závěrem: nenechávejte nic náhodě

Projít web před spuštěním není práce na měsíce. HTTPS, security headers, aktualizace, přístupy, zálohy včetně zkoušky obnovy, logování a základ kolem GDPR – tohle všechno obejdete s nástroji zdarma za jeden až dva dny. Pentest si nechte na weby, kde jde o peníze nebo o osobní údaje.

A serverovou část nemusíte řešit vy. VPS se správou od Váš Hosting má aktualizace systému, firewall, zálohy i monitoring na sobě, takže vám zůstane jen samotný web.

Zdroje: