Piszemy strony od zera, bez systemu wymagającego aktualizacji i bez wtyczek.
Naprawiamy zhakowane strony i wiemy, skąd atakujący wchodzą i prawie zawsze przez luki we wtyczkach. Sprawdzamy, szukamy i śledzimy na bieżąco.
W typowym systemie zarządzania treścią serwer przy każdym wejściu uruchamia program, odpytuje bazę danych i składa stronę na bieżąco, wykonując po drodze kod wszystkich zainstalowanych dodatków. W stronie statycznej serwer oddaje gotowy plik.
Nie ma kodu do wykonania, nie ma zapytania do bazy i nie ma wtyczek, których zachowania nikt nie kontroluje. Stąd biorą się obie różnice naraz: mniejsza powierzchnia ataku i krótszy czas ładowania.
Powierzchnia ataku punkt po punkcie
Zestawienie dotyczy tego, co da się zaatakować przez przeglądarkę, bez dostępu do serwera. Nie porównujemy jakości kodu, tylko liczbę drzwi.
| Element | Typowy CMS z wtyczkami | Strona statyczna |
|---|---|---|
| Panel logowania | Publicznie dostępny, pod przewidywalnym adresem | Nie istnieje w opublikowanej stronie |
| Wtyczki i motywy | Kilkanaście do kilkudziesięciu programów od różnych autorów, w różnym rytmie aktualizacji | Brak, kod pisany pod jedną witrynę |
| Baza danych | Odpytywana przy każdym wejściu, częsty cel wstrzyknięć | Nie bierze udziału w serwowaniu strony |
| Wgrywanie plików | Katalog zapisywalny, historycznie najczęstsza droga wejścia | Brak zapisu z poziomu strony |
| Cykl aktualizacji | Stały, wymuszony przez kolejne ujawniane luki | Nie ma czego aktualizować |
| Praca serwera przy wejściu | Uruchomienie programu, zapytania do bazy, złożenie strony | Oddanie gotowego pliku |
| Po włamaniu | Trzeba przejść pliki i bazę, znaleźć tylne wejścia i zamknąć lukę | Nie ma warstwy wykonywalnej, przez którą infekcja mogłaby wejść |
Żadne rozwiązanie nie jest nie do złamania. Konto hostingowe, dostęp do domeny i poczta pozostają wspólnym ryzykiem, niezależnym od technologii. Statyczny HTML zamyka jedną, za to najczęściej wykorzystywaną drogę: kod wykonywany po stronie serwera przy każdym wejściu.
Kiedy to ma sens, a kiedy nie
Nie każda strona powinna powstać w ten sposób i wolimy powiedzieć to przed wyceną, a nie po wdrożeniu.
Ma sens, gdy
- Strona jest wizytówką firmy. Oferta, realizacje, kontakt, czasem blog. To większość stron firmowych w Polsce.
- Treść zmienia się rzadko albo umiarkowanie. Kilka zmian w miesiącu obsługuje panel MaiCMS bez żadnego kompromisu.
- To nie pierwsze włamanie. Jeśli strona była już czyszczona, kolejne czyszczenie kupuje tylko czas.
- Męczy Cię pilnowanie aktualizacji. Albo płacenie za to, żeby ktoś pilnował ich za Ciebie.
- Liczy się szybkość. Brak warstw pośrednich widać w pomiarze, nie tylko w deklaracji.
Nie ma sensu, gdy
- Potrzebujesz rozbudowanego ekosystemu wtyczek. Jeśli Twoja praca opiera się na kilkunastu gotowych dodatkach, nie odtworzymy ich w rozsądnym czasie i budżecie.
- Treść zmienia się kilka razy dziennie i redaguje ją wiele osób z różnymi uprawnieniami. Wtedy rozbudowany CMS bywa właściwym narzędziem.
- Strona jest świeża, zadbana i aktualizowana. Nie ma powodu jej wymieniać tylko dlatego, że stoi na WordPressie.
- Budżet jest niższy niż koszt migracji. Wtedy uczciwiej jest zabezpieczyć to, co jest, i wrócić do rozmowy później.
Najczęstsze pytania
Dlaczego WordPress jest tak często hakowany?
Nie dlatego, że jest źle napisany, tylko dlatego, że jest wszędzie i że składa się z cudzego kodu. Typowa strona ma zainstalowanych kilkanaście albo kilkadziesiąt dodatków, z których każdy jest osobnym programem od osobnego autora, aktualizowanym w osobnym rytmie.
Luki w tych dodatkach są publicznie dokumentowane, a automatyczne skanery przeszukują internet w poszukiwaniu stron, które ich nie załatały, więc od publikacji podatności do pierwszej próby ataku mijają godziny. Do tego dochodzi panel logowania dostępny publicznie pod przewidywalnym adresem.
Sam rdzeń systemu bywa aktualizowany szybko; problemem jest powierzchnia, którą dokłada wszystko, co na nim postawiono.
Czym różni się strona statyczna od WordPressa?
Różnicą jest to, co dzieje się w momencie wejścia odwiedzającego. W typowym systemie zarządzania treścią serwer przy każdym żądaniu uruchamia program, odpytuje bazę danych i składa stronę na bieżąco, wykonując po drodze kod wszystkich zainstalowanych dodatków.
W stronie statycznej serwer oddaje gotowy plik. Nie ma kodu do wykonania, nie ma zapytania do bazy i nie ma wtyczek, których zachowania nikt nie kontroluje.
Z tego wynikają dwie konsekwencje: mniejsza powierzchnia ataku i krótszy czas ładowania, bo znika cała praca wykonywana dotąd przy każdym wejściu.
Czy bez WordPressa będę mógł sam edytować treść?
Tak. Do edycji służy MaiCMS, nasz lekki panel, w którym zmieniasz teksty i zdjęcia. Istotna różnica polega na tym, że panel nie jest częścią opublikowanej strony: po zapisaniu zmian powstaje statyczny HTML, a odwiedzający nigdy nie trafia na żaden mechanizm logowania.
W klasycznym CMS panel jest wbudowany w działającą witrynę i to on bywa drogą wejścia. Jeśli treść zmienia się rzadko, można w ogóle zrezygnować z panelu i zlecać zmiany nam.
Czy strona bez WordPressa jest gorsza dla SEO?
Nie. Wyszukiwarka nie widzi, czym strona została zbudowana, tylko co odsyła serwer: kod HTML, jego strukturę, dane strukturalne i czas odpowiedzi.
Wszystko, co zwykle daje wtyczka SEO, robimy w kodzie: tytuły, opisy, mapę strony, robots.txt, dane strukturalne, Open Graph i przekierowania. Statyczny HTML zwykle wypada lepiej w pomiarach szybkości, a te wchodzą do sygnałów rankingowych.
Wtyczka bywa wygodna dla redaktora, ale nie jest warunkiem widoczności.
Co, jeśli będę chciał później przejść na WordPressa?
Nic nie stoi na przeszkodzie i nie blokujemy takiej drogi. W modelu jednorazowym po zapłacie dostajesz autorskie prawa majątkowe do kodu, więc treść, grafiki i struktura adresów są Twoje i możesz je przenieść, gdzie chcesz.
Nie stosujemy zamknięcia w naszym systemie: MaiCMS jest opcją, a nie warunkiem. Uczciwie mówimy też, kiedy sami odradzamy nasze rozwiązanie, na przykład gdy potrzebujesz rozbudowanego ekosystemu wtyczek, którego nie zbudujemy w rozsądnym czasie.
Czytaj dalej
Migracja z WordPressa
Jeśli strona ma zostać taka, jaka jest, ale bez cyklu aktualizacji. Przeniesienie na MaiCMS za 850 zł.
Zobacz szczegółyIle kosztuje strona internetowa
Pełny cennik i policzony koszt utrzymania przez pięć lat w obu modelach płatności.
Zobacz cennikBezpieczeństwo stron
Skąd wiemy, którędy wchodzą atakujący: dział o naprawie zhakowanych stron i o tym, co znajdujemy w środku.
Zobacz działZbudujemy stronę, której nie trzeba pilnować.
Napisz, co ma robić strona. Zaczniemy od bezpłatnego audytu i powiemy uczciwie, czy warto ją wymieniać, czy wystarczy zabezpieczyć.
- Bez wtyczek i aktualizacji
- Wynik 98+ w PageSpeed
- Kod na własność
- Odpowiedź w kilka godzin