Kto instaluje aktualizacje bezpieczeństwa na Twoim serwerze?
Luka w serwerze WWW albo w jądrze systemu pojawia się bez zapowiedzi, często razem z gotowym exploitem w obiegu. To, czy jest to Twój problem, czy cudzy, rozstrzyga jedno pytanie: kto na Twojej maszynie wgrywa poprawki. Odpowiedź nie zależy od tego, u kogo kupujesz, tylko od tego, który wariant usługi masz wykupiony.
Granica między hostingiem współdzielonym, VPS-em i serwerem z administracją to w praktyce granica odpowiedzialności za aktualizacje. Im więcej kontroli kupujesz, tym więcej pracy zostaje po Twojej stronie.
Hosting współdzielony: system jest po naszej stronie, aplikacja po Twojej
Na hostingu współdzielonym nie masz dostępu do systemu operacyjnego i nie musisz go mieć. Logujesz się do panelu DirectAdmin, a warstwa niżej jest poza Twoim zasięgiem.
Nie znaczy to jednak, że nie masz nic do zrobienia. Po Twojej stronie zostaje wszystko, co widać z panelu: wersja PHP (w ofercie RapidDC do wyboru od 5.4 do 8.3), CMS, wtyczki, szablony i to, co zainstalujesz autoinstalatorem. Nieaktualna wtyczka jest dla skanera równie dobrym wejściem jak dziura w jądrze, a tej nikt za Ciebie nie podniesie. Jeśli zostawiasz stronę na PHP 5.6, bo „działa”, to jest Twoja decyzja i Twoje ryzyko.
Warto też wiedzieć, jak wygląda siatka bezpieczeństwa. Kopia zapasowa wykonuje się raz dziennie i sięga do trzech dni wstecz. Samo przywrócenie danych jest usługą dodatkową, rozliczaną osobno. Trzy dni wystarczą, gdy zepsuta aktualizacja wywali stronę od razu. Nie wystarczą, gdy infekcja siedzi cicho przez dwa tygodnie.
Certyfikat SSL Let’s Encrypt jest w pakiecie, więc nie musisz kupować go osobno. To akurat jedna rzecz mniej na liście.
VPS: wszystko powyżej hypervisora jest Twoje
Serwer VPS działa na pełnej wirtualizacji KVM, więc zainstalujesz praktycznie dowolny system: Debiana, Ubuntu, CentOS, Fedorę, a także Windows. Zalogujesz się kluczem SSH, postawisz maszynę z własnego ISO i w razie potrzeby zreinstalujesz ją samodzielnie, bez dopłaty.
Ta sama swoboda oznacza, że jądro, serwer WWW, PHP i bazę danych aktualizujesz sam. Nikt nie zrobi tego w tle, bo nikt nie ma prawa wejść do Twojego systemu.
Jest jeszcze szczegół, który przy pierwszym VPS-ie łatwo przeoczyć: publiczne adresy dostajesz bez firewalla po stronie sieci i żaden port nie jest domyślnie blokowany. Świeżo postawiona maszyna jest widoczna z całego internetu dokładnie w takim stanie, w jakim ją zostawiłeś, razem z usługami, których być może wcale nie chciałeś wystawiać. Konfiguracja zapory jest pierwszą rzeczą do zrobienia po instalacji, nie dziesiątą.
Ochrona antyDDoS działa tu po naszej stronie i jest dodawana do każdego serwera VPS SSD za darmo. Chroni przed zalaniem łącza ruchem. Nie ochroni przed niezałataną usługą, bo to zupełnie inna klasa problemu.
Pomoc naszych administratorów przy VPS-ie jest możliwa, ale wyceniana osobno. Jeśli okaże się, że korzystasz z niej co tydzień, policz, czy nie taniej wyjdzie od razu wariant z administracją.
Serwer z administracją: obowiązek przechodzi na zespół
Serwer dedykowany z administracją przesuwa granicę w drugą stronę. Instalujemy i konfigurujemy maszynę, dobieramy system oraz oprogramowanie pod konkretne zadanie, wdrażamy zabezpieczenia i sprawujemy nadzór nad poprawnym działaniem serwera i usług webowych. Politykę backupu i wykonanie kopii również można zlecić. Zespół administratorów pracuje siedem dni w tygodniu, dwadzieścia cztery godziny na dobę, a antyDDoS Wanguard jest wliczony w cenę serwera.
Do tego dostajesz konsolę IPMI 2.0, czyli zdalny dostęp do sprzętu niezależny od systemu. Przydaje się dokładnie wtedy, gdy system przestaje odpowiadać.
Jedna rzecz, którą warto ustalić przed podpisaniem umowy: strona oferty mówi o bardzo krótkim czasie reakcji, ale nie podaje liczbowego SLA. Jeśli masz wewnętrzne wymagania co do okna naprawczego albo zobowiązania wobec własnych klientów, wpisz konkretne wartości do umowy, zamiast zakładać, że się dogadacie w kryzysie.
Trzy pytania, które rozstrzygają wybór
Wybór rzadko rozbija się o cenę miesięczną. Rozbija się o czas i o to, kto siedzi przy klawiaturze, gdy robi się gorąco.
- Kto wgra krytyczną poprawkę w sobotę o dwudziestej trzeciej? Jeśli odpowiedź brzmi „ja, o ile akurat nie jestem na urlopie”, hosting współdzielony albo serwer z administracją zdejmie z Ciebie ten dyżur.
- Ile kosztuje godzina niedostępności? Dla bloga firmowego niewiele. Dla sklepu w sezonie przedświątecznym to konkretna kwota, którą warto porównać z kosztem administracji.
- Czy masz spisaną procedurę aktualizacji? Wystarczy kilka zdań: co i jak często aktualizujesz, gdzie sprawdzasz komunikaty o lukach i jak wycofujesz zmianę, która popsuła stronę. Jeśli nie masz, VPS będzie kosztował więcej, niż wygląda w cenniku.
Podsumowanie
Hosting współdzielony zdejmuje z Ciebie system i zostawia aplikację. VPS daje pełną kontrolę i pełną odpowiedzialność, łącznie z firewallem, którego domyślnie nie ma. Serwer z administracją przenosi obowiązek aktualizacji na nasz zespół i ma sens wtedy, gdy przestoje kosztują więcej niż usługa.
Nie wiesz, który wariant pasuje do Twojej sytuacji? Opisz nam, co stawiasz i ile czasu możesz poświęcić na administrację, a zaproponujemy konkretną konfigurację. Zacznij od porównania hostingu z serwerem VPS, a jeśli już wiesz, że nie chcesz się tym zajmować, od razu zobacz serwery z administracją.
FAQ – najczęściej zadawane pytania o aktualizacje bezpieczeństwa serwera
Czy na hostingu współdzielonym muszę cokolwiek aktualizować?
Tak, choć nie system. Aktualizujesz to, czym zarządzasz z panelu: wersję PHP, CMS, wtyczki i szablony. Warstwa systemowa jest poza Twoim panelem i nie zarządzasz nią samodzielnie.
Kto aktualizuje system na serwerze VPS?
Ty. Pełna wirtualizacja KVM daje Ci własny system operacyjny, więc jądro, serwer WWW, PHP i baza danych są pod Twoją kontrolą i Twoją odpowiedzialnością. Pomoc administratorów jest dostępna jako osobno wyceniana usługa.
Czy antyDDoS zabezpiecza przed wykorzystaniem luki w oprogramowaniu?
Nie. Ochrona antyDDoS filtruje ruch i broni przed zalaniem łącza. Atak na niezałataną usługę może być pojedynczym żądaniem, którego żaden filtr wolumetryczny nie wyłapie. Te dwa mechanizmy rozwiązują różne problemy i jeden nie zastępuje drugiego.
Co obejmuje serwer dedykowany z administracją?
Instalację i konfigurację serwera, dobór systemu oraz oprogramowania, wdrożenie zabezpieczeń i nadzór nad poprawnym działaniem serwera i usług webowych. Można zlecić także stworzenie polityki backupu i wykonanie kopii. Zespół administratorów pracuje w trybie 24/7.
Czy świeżo uruchomiony VPS jest domyślnie zabezpieczony?
Nie w sensie sieciowym. Publiczne adresy nie mają firewalla po stronie sieci i żaden port nie jest blokowany, więc maszyna jest widoczna z internetu od pierwszej minuty. Konfiguracja zapory i ograniczenie wystawionych usług to zadanie na start, nie na później.
Artykuł powstał z wykorzystaniem narzędzi sztucznej inteligencji (AI) pod nadzorem zespołu RapidDC. Grafika ilustracyjna została wygenerowana przez AI.