Bezpečnost
Bezpečnost webových aplikací, auditování kódu (OWASP), ochrana dat a prevence zranitelností.
Bezpečnost webů
Bezpečnost webu řeším tam, kde bývají skutečné problémy: ve vlastním kódu, v zastaralých závislostech a v konfiguraci. Jsem nadšenec do kybernetické bezpečnosti a etického hackingu a ten pohled promítám do každého webu, na kterém pracuji. Oprava zranitelností Dostali jste upozornění na zranitelnost, nebo vám ji našel scanner či auditor? Ověřím, jestli se dá na vašem webu zneužít, opravím ji v kódu nebo aktualizací a doplním kontrolu, aby se stejná chyba nevrátila. Platí to pro Drupal a Hugo i pro weby, které jsem nestavěl.
Claude Plugins – Skills pro Claude Code
Status: Aktivní vývoj Tento repozitář obsahuje kolekci Claude Code Skills, které rozšiřují Claude Code o specializované znalosti a doporučené postupy pro vývoj webových aplikací. Projekt je dostupný na GitHubu: https://github.com/siva01c/claude-plugins Aktuálně dostupné skills Drupal Skills zaměřené na vývoj v Drupalu. Obsahují doporučené postupy pro: vývoj modulů Drupal Coding Standards Composer Drush DDEV běžné vývojářské workflow Security Skills zaměřené na bezpečnost webových aplikací. Obsahují kontroly podle: OWASP ASVS bezpečnostní review secure coding DevOps Skills pro každodenní vývojářské workflow.
Správa a údržba webu
Web není hotový dnem spuštění. Vycházejí bezpečnostní aktualizace, moduly stárnou a verze PHP končí. Převezmu správu webu – ať jsem ho stavěl já, nebo někdo jiný – a postarám se, aby byl aktuální, zálohovaný a dal se bez obav měnit. Popisuji tu, co pro klienty opravdu dělám, ne katalog slibů. Co správa obnáší Bezpečnostní záplaty – sleduji bezpečnostní oznámení Drupalu (security advisories) a záplaty jádra a modulů nasazuji po jejich vydání přednostně. Denní zálohy s kopií mimo server – databáze i soubory se zálohují každý den a kopie leží jinde než web. K záloze patří sepsaný postup obnovy, takže se ví, jak web vrátit, a nezačíná se vymýšlet ve chvíli, kdy je potřeba. Testy a CI před nasazením – každá aktualizace a změna jde nejdřív přes automatické kontroly a testy v CI a teprve potom do produkce. Zabezpečený provoz – hesla a klíče mimo repozitář, oddělené přístupy a server nastavený tak, aby nevystavoval víc, než musí. Průběžné aktualizace a upgrady – moduly, knihovny a PHP, aby se nenahromadil technický dluh, a upgrady mezi hlavními verzemi Drupalu včetně úprav vlastního kódu. Jak spolupráce probíhá Vstupní prohlídka – projdu web, kód a provoz a sepíšu, co je potřeba uvést do pořádku. Uvedení do pořádku – aktualizace, zálohy, CI a opravy toho, co prohlídka našla. Pravidelná správa – záplaty, aktualizace a drobný rozvoj podle potřeby. Rozsah nastavíme podle velikosti webu. Trackuji si čas a fakturuji odpracované hodiny, takže platíte přesně za to, co bylo potřeba udělat.
Kontrola vibe coded aplikací
Aplikaci jste postavili s Claude Code, Cursorem, Lovable, Bolt nebo jiným AI agentem a funguje. Než ji ale pustíte k zákazníkům a jejich datům, je dobré vědět, co v ní doopravdy je. AI píše rychle a přesvědčivě, jenže stejně rychle dokáže vynechat kontrolu oprávnění nebo vložit klíč přímo do kódu. Vibe coding sám používám každý den a učím ho, takže vím, kde agenti chybují nejčastěji. Bezpečnostní audit Projdu kód a konfiguraci podle OWASP ASVS a zaměřím se na to, co se u aplikací psaných AI opakuje:
Oprava hacknutého webu
Web přesměrovává návštěvníky na cizí stránky, Google u něj ukazuje varování, hosting vám ho zablokoval kvůli spamu, nebo na serveru přibyly soubory, které tam nikdo nedal? Hacknutý web opravím, ať běží na Drupalu, WordPressu nebo čemkoli jiném – a ať jsem ho stavěl já, nebo někdo jiný. Jak postupuji Izolace – zastavím škody: web odstavím nebo přepnu do režimu údržby, změním hesla a přístupy a zazálohuji současný stav jako důkaz pro analýzu. Analýza – zjistím, kudy útočník přišel a co změnil: zranitelný modul nebo plugin, uniklé heslo, zadní vrátka v souborech nebo v databázi. Vyčištění – odstraním škodlivý kód, podvržené účty a soubory. Kde je to bezpečnější, obnovím web z čisté zálohy nebo ze zdrojového kódu a vrátím do něj jen ověřená data. Záplaty – opravím díru, kterou útočník využil, a aktualizuji jádro, moduly či pluginy a závislosti. Prevence – nastavím zálohy s kopií mimo server, oddělená oprávnění a kontroly, aby se stejný útok neopakoval. Pomůžu i s žádostí o odstranění varování z Googlu. Na konci dostanete stručný popis, co se stalo, co jsem udělal a co doporučuji dál.