Securitatea site-ului: ghidul proprietarului non-tehnic

Site-urile mici sunt ținte mari: cum arată atacurile reale, cele 7 măsuri care previn 95% din ele și ce responsabilități are agenția ta.

„Cine să ne atace tocmai pe noi?"

Întrebarea care precede majoritatea incidentelor — pentru că pornește de la o premisă greșită: site-urile mici nu sunt atacate de cineva, sunt atacate de ceva. Roboții scanează non-stop internetul după vulnerabilități cunoscute — platforme neactualizate, parole slabe, formulare neprotejate — și compromit fără să întrebe cât de mică e firma. Site-ul tău nu e țintă personală; e unul din milioanele de uși încercate automat, zilnic. Vestea bună: exact de aceea, măsurile standard previn aproape tot.

Cum arată incidentele reale (și ce costă)

**Malware și spam injectat**: site-ul tău găzduiește, invizibil, linkuri și scripturi străine — [Google te marchează „site periculos"](/blog/viteza-site-ului-de-ce-conteaza-si-cum-o-imbunatatesti), traficul dispare, curățarea costă 1.000-5.000 RON plus săptămâni de recâștigat încrederea motoarelor

**Deturnarea completă**: pagini înlocuite, redirecturi spre site-uri dubioase — vitrina firmei devine panou publicitar pentru altcineva

**Furtul de date**: formularele și bazele de date cu [datele clienților](/blog/certificat-ssl-gdpr-cookies-ghid-legal-site) — incident care adaugă la costul tehnic obligațiile GDPR (notificări, posibile sancțiuni) și dauna de reputație

**Ransomware pe site**: mai rar la site-uri mici, dar existent — fișierele criptate, site-ul mort, șantajul clasic

Numitorul comun al aproape tuturor: vulnerabilități vechi, cunoscute, nepatchuite — adică prevenibile cu igienă banală.

Cele 7 măsuri care previn 95% din incidente

1. **Actualizările la zi** — platforma, temele, pluginurile: [mentenanța lunară](/blog/cat-costa-mentenanta-unui-site) nu e abonament de lux, e patch-uirea ușilor pe care roboții le încearcă; site-ul neactualizat un an e statistic deja compromis sau pe listă

2. **Parole serioase + manager de parole** — „Firma2024!" nu e parolă, e invitație; unice per cont, generate, în manager

3. **Autentificarea în doi pași (2FA)** pe tot ce contează: administrarea site-ului, [hostingul, domeniul](/blog/hosting-si-domeniu-ghid-pentru-incepatori), emailul — parola furată devine inutilă fără al doilea factor

4. **Backup automat, extern, testat** — [regula de aur](/blog/cat-costa-mentenanta-unui-site): backupul care nu s-a restaurat niciodată de probă e o speranță, nu o măsură; incidentul cu backup bun = o zi proastă; fără = o lună neagră

5. **Accese minime și curățate**: fiecare om cu contul lui, cu rolul minim necesar — și ștergerea imediată la plecare ([fostul colaborator cu admin](/blog/cand-e-momentul-sa-schimbi-agentia) e clasicul incident „misterios")

6. **HTTPS + firewall de aplicație**: [SSL-ul e igiena minimă](/blog/certificat-ssl-gdpr-cookies-ghid-legal-site); firewall-ul (inclus la hostingurile bune sau ca serviciu) filtrează atacurile automate înainte să atingă site-ul

7. **Monitorizarea**: scanare periodică de malware + alertă de nefuncționare — incidentul descoperit în ore se rezolvă în ore; cel descoperit de clienți („site-ul vostru îmi dă virus!") s-a rezolvat deja singur — în defavoarea ta

> Securitatea site-ului mic nu e un proiect, e un abonament de igienă: actualizări lunare, backup testat, parole cu doi pași. Plictisitor, ieftin și — exact ca spălatul pe mâini — mai eficient decât orice tratament de după.

Împărțirea responsabilității cu agenția

Clarificată [în contract](/blog/contract-cu-agentia-la-ce-sa-fii-atent), nu presupusă:

**La construcție**: cod fără vulnerabilități evidente, configurări sigure, [predarea acceselor curată](/blog/checklist-lansare-site-2026) — responsabilitatea agenției de dezvoltare

**În funcționare**: actualizările, backupul, monitorizarea — ale cui? [Abonamentul de mentenanță](/blog/cat-costa-mentenanta-unui-site) le include explicit sau nu le face nimeni — golul dintre „credeam că ei" și „credeam că voi" e exact unde trăiesc incidentele

**La incident**: cine intervine, [în cât timp](/blog/ce-este-un-sla-si-de-ce-conteaza), cu ce costuri — negociate înainte, nu în panica de sâmbătă seara

**Partea ta, nedelegabilă**: parolele tale, 2FA-ul tău, oamenii tăi instruiți minim (phishingul care cere „parola de la site urgent" funcționează încă jenant de des)

Întrebări frecvente

Site-ul meu e „doar de prezentare". Chiar contează?

Da — pentru atacatori, orice site e resursă: găzduire de spam, redirecturi, putere de calcul. Iar pentru tine, site-ul marcat periculos în Google înseamnă [luni de vizibilitate pierdută](/blog/migrarea-site-ului-fara-pierderi-seo) — indiferent ce „doar" era. Nivelul minim (măsurile 1-4) costă sub 200 RON/lună și acoperă exact acest profil.

Cum verific ACUM dacă site-ul meu e în regulă?

Trei verificări de 10 minute: caută site-ul pe „Google Safe Browsing status" (raportul public de site periculos), întreabă cine a făcut ultima actualizare și când ([răspunsul vag e răspunsul](/blog/cat-costa-mentenanta-unui-site)), și cere dovada ultimului backup restaurat de probă. Trei răspunsuri proaste = auditul de securitate devine urgent, nu opțional.

Am fost compromis. Primii pași?

În ordine: izolarea (agenția/hostingul pune site-ul pe pauză sau mentenanță), schimbarea tuturor parolelor din alt dispozitiv, restaurarea din backupul curat + patch-uirea vulnerabilității (altfel revine în zile), verificarea [obligațiilor GDPR](/blog/certificat-ssl-gdpr-cookies-ghid-legal-site) dacă date personale au fost expuse, și cererea de reevaluare la Google după curățare. Cu [mentenanță și SLA](/blog/ce-este-un-sla-si-de-ce-conteaza), toate acestea sunt un telefon; fără — o săptămână de învățat sub presiune.

Scanerele și „auditurile de securitate" gratuite din reclame?

Majoritatea sunt unelte de vânzare prin frică — rapoarte automate cu „vulnerabilități critice" umflate. [Auditul serios](/blog/cat-costa-un-audit-seo) există (de la firme specializate, cu metodologie și context), dar pentru site-ul obișnuit, cele 7 măsuri + mentenanța competentă acoperă nevoia reală fără teatru.

Concluzie

Securitatea site-ului mic e igienă sistematizată: actualizări, parole cu doi pași, backup testat, accese curate, monitorizare — plus responsabilități scrise negru pe alb cu [agenția de mentenanță](/agentii). Nimic eroic, totul prevenibil — iar diferența dintre firma care o face și cea care „vede după" se măsoară exact o dată: în ziua incidentului. Fă azi cele trei verificări de 10 minute — restul devine un abonament plictisitor, cum trebuie să fie.