Bezpečnost a ochrana údajů

Vaše bezpečnost je pro mě prioritou. Podnikám řadu kroků, aby vaše údaje byly v bezpečí – od zabezpečeného připojení přes pravidla v prohlížeči až po bezpečný kód a ochranu infrastruktury.

V kostce

Bezpečnost řeším v několika vrstvách: chráním spojení (HTTPS), přísně nastavuji prohlížeč (CSP, ochranné hlavičky), uvnitř používám bezpečné postupy v Laravelu a zvenčí web chrání Cloudflare.

✓ Vždy šifrované připojení přes HTTPS.
✓ Přísná pravidla prohlížeče (CSP, bezpečnostní hlavičky).
✓ Bezpečný kód v Laravelu (CSRF, XSS ochrana, SQL parametrizace).
✓ Ochrana provozu a zrychlení načítání přes Cloudflare.

Bezpečné připojení (HTTPS/HSTS)

Všechny požadavky směruji na HTTPS a prohlížeči doporučuji používat pouze zabezpečené spojení i do budoucna.

Automatické přesměrování na HTTPS: pokud přijdete na HTTP, přesměruji vás na zabezpečenou stránku.
HSTS (Strict-Transport-Security): prohlížeči dávám pokyn používat pouze HTTPS (1 rok, včetně subdomén).
Upgrade nezabezpečených odkazů: tam, kde je to možné, se odkazy automaticky načítají přes HTTPS.

Ochrana v prohlížeči

Aby se na stránku nedostal nežádoucí kód, používám soubor pravidel a hlaviček, které omezují, co může stránka dělat.

Referrer-Policy: posílám pouze nezbytné informace o původu návštěvy.
X-Content-Type-Options: prohlížeč „neuhodne“ typ souboru, čímž snižuji riziko útoku.
X-Frame-Options: v cizím iframe se tento web nezobrazí – ochrana před clickjackingem.
COOP/CORP: izoluji okna a zdroje mezi doménami, čímž snižuji rizika při sdílení obsahu.
Permissions-Policy: citlivé funkce (kamera, mikrofon, poloha…) jsou standardně vypnuté.

Content Security Policy (CSP) a nonce

CSP je „whitelist“ povolených zdrojů. Každý skript má jednorázový podpis (nonce), takže se spustí jen to, co jsem výslovně povolil. Tím výrazně snižuji riziko vložení škodlivého kódu (XSS).

Direktiva	Hodnota (zjednodušeně)
default-src	'self'
script-src	nonce-{nonce} 'strict-dynamic' https: 'self'
style-src	'self'
img-src	'self' data: blob: a schválené domény
frame-src	pouze schválené video platformy
object-src	'none'
connect-src	'self' + analytické endpointy

Skutečné hodnoty nastavuji dynamicky (nonce je generováno pro každý požadavek).

Bezpečný kód (Laravel)

Aplikace běží na Laravelu a držím se osvědčených postupů.

• CSRF ochrana: formuláře mají bezpečnostní tokeny proti zneužití.

• XSS ochrana: výstupy jsou správně escapované, navíc pomáhá CSP.

• SQL Injection: dotazy používají vázané parametry (parametrizace).

• Validace a čištění vstupů: kontroluji formáty a hodnoty ještě před zpracováním.

• Relace a přihlášení: zabezpečené cookies, přiměřené expirace.

• Rate limiting: omezuji počet pokusů u citlivých akcí.

Ochrana přes Cloudflare

Používám Cloudflare – chrání web před útoky, filtruje škodlivé požadavky (WAF), zmírňuje DDoS a zrychluje načítání přes CDN.

Monitoring a reakce

Sleduji dostupnost a chyby v reálném čase.
Pravidelně aktualizuji systém a knihovny.
Zálohuji klíčová data a testuji obnovu.
Mám interní postup při incidentu pro rychlou nápravu.