Bezpečnosť a ochrana údajov

Vaša bezpečnosť je pre mňa priorita. Robím viacero krokov, aby vaše údaje boli v bezpečí – od zabezpečeného pripojenia, cez pravidlá v prehliadači, až po bezpečný kód a ochranu infraštruktúry.

V skratke

Bezpečnosť riešim vo viacerých vrstvách: chránim spojenie (HTTPS), prísne nastavujem prehliadač (CSP, ochranné hlavičky), vo vnútri používam bezpečné postupy v Laraveli a zvonku web chráni Cloudflare.

✓ Vždy šifrované pripojenie cez HTTPS.
✓ Prísne prehliadačové pravidlá (CSP, bezpečnostné hlavičky).
✓ Bezpečný kód v Laraveli (CSRF, XSS ochrana, SQL parameterizácia).
✓ Ochrana prevádzky a zrýchlenie načítania cez Cloudflare.

Bezpečné pripojenie (HTTPS/HSTS)

Všetky požiadavky smerujem na HTTPS a prehliadaču odporúčam používať iba zabezpečené spojenie aj do budúcna.

Automatické presmerovanie na HTTPS: ak prídete na HTTP, presmerujem vás na zabezpečenú stránku.
HSTS (Strict-Transport-Security): prehliadaču dávam pokyn používať iba HTTPS (1 rok, vrátane subdomén).
Upgrade nezabezpečených odkazov: tam, kde je to možné, sa odkazy automaticky načítajú cez HTTPS.

Ochrana v prehliadači

Aby sa na stránku nedostal neželaný kód, používam súbor pravidiel a hlavičiek, ktoré obmedzujú, čo môže stránka robiť.

Referrer-Policy: posielam iba nevyhnutné informácie o pôvode návštevy.
X-Content-Type-Options: prehliadač „neuhádne“ typ súboru, znižujem tým riziko útoku.
X-Frame-Options: v cudzom iframe sa tento web nezobrazí – ochrana pred clickjackingom.
COOP/CORP: izolujem okná a zdroje medzi doménami, čím znižujem riziká pri zdieľaní obsahu.
Permissions-Policy: citlivé funkcie (kamera, mikrofón, poloha…) sú defaultne vypnuté.

Content Security Policy (CSP) a nonce

CSP je „whitelist“ povolených zdrojov. Každý skript má jednorazový podpis (nonce), takže sa spustí len to, čo som výslovne povolil. Tým výrazne znižujem riziko vloženia škodlivého kódu (XSS).

Direktíva	Hodnota (zjednodušené)
default-src	'self'
script-src	nonce-{nonce} 'strict-dynamic' https: 'self'
style-src	'self'
img-src	'self' data: blob: a schválené domény
frame-src	len schválené video platformy
object-src	'none'
connect-src	'self' + analytické endpointy

Skutočné hodnoty nastavujem dynamicky (nonce je vygenerované pre každý request).

Bezpečný kód (Laravel)

Aplikácia beží na Laraveli a držím sa osvedčených postupov.

• CSRF ochrana: formuláre majú bezpečnostné tokeny proti zneužitiu.

• XSS ochrana: výstupy sú správne escapované, navyše pomáha CSP.

• SQL Injection: dotazy používajú viazané parametre (parameterizácia).

• Validácia a čistenie vstupov: kontrolujem formáty a hodnoty ešte pred spracovaním.

• Relácie a prihlásenie: zabezpečené cookies, primerané expirácie.

• Rate limiting: obmedzujem počet pokusov na citlivých akciách.

Ochrana cez Cloudflare

Používam Cloudflare – chráni web pred útokmi, filtruje škodlivé požiadavky (WAF), zmierňuje DDoS a zrýchľuje načítanie cez CDN.

Monitoring a reakcia

Sledujem dostupnosť a chyby v reálnom čase.
Pravidelne aktualizujem systém a knižnice.
Zálohujem kľúčové dáta a testujem obnovu.
Mám interný postup pri incidente pre rýchlu nápravu.