AI staví rychle. Bezpečnost není součástí rychlosti.
Nástroje jako Bolt, Lovable a Replit Agent umí vygenerovat funkční web z textového promptu za hodinu. Rozložení funguje, formuláře odesílají, navigace kliká. Vypadá to hotově.
Ale kód pod tím byl generován tak, aby fungoval jako první a byl bezpečný jako druhý. To není teoretické riziko. AI-generovaný kód pravidelně odchází s chybami, které by pečlivý vývojář chytil při kontrole: odhalené API klíče v klientském kódu, formuláře přijímající jakýkoli vstup bez validace, databázové dotazy sestavené z uživatelského textu a přihlašovací logika, která přeskakuje těžké části.
Pro majitele firmy to nezáleží, dokud nezáleží hodně. Kontaktní formulář, který uniká data zákazníků. Přihlašovací stránka, která pustí kohokoli. Web, který Google označí jako nebezpečný. Tohle nejsou okrajové případy. Jsou to přirozený výsledek toho, když se rychlost bere jako jediný cíl.
Co AI-generované weby dělají špatně
Problémy jsou předvídatelné, protože vycházejí z toho, jak nástroje fungují. AI generuje kód z vzorců ve svých trénovacích datech. Tyto vzorce zahrnují nezabezpečené postupy vedle těch bezpečných. Bez explicitních pokynů a kontroly se výstup kloní k cestě nejmenšího odporu.
Formuláře bez serverové validace. AI vygeneruje kontaktní formulář, který vypadá správně a odesílá data. Ale validace probíhá pouze v prohlížeči, kde ji kdokoli může obejít. Formulář přijímající cokoli se dá zneužít k odesílání spamu, vkládání škodlivých skriptů nebo přetečení databázového pole. Serverová validace — opětovná kontrola dat po jejich přijetí — je ta část, která vás skutečně chrání.
Odhalená tajemství. API klíče, databázové přihlašovací údaje a servisní tokeny někdy končí v klientském JavaScriptu. Kdokoli, kdo otevře vývojářské nástroje prohlížeče, si je může přečíst. To je běžný výsledek, když AI nástroje připojují externí služby: připojení funguje, ale přihlašovací údaje jsou viditelné pro každého návštěvníka.
Chybějící bezpečnostní hlavičky. HTTP bezpečnostní hlavičky říkají prohlížeči, jak se má chovat: jestli má povolit iframes, jestli má upgradovat nezabezpečená připojení, jak má zacházet s typy obsahu. AI nástroje je standardně nepřidávají. Bez nich je web zranitelnější vůči clickjackingu, content sniffingu a útokům se smíšeným obsahem.
SQL injekce a zpracování vstupu. Když web přijímá uživatelský vstup a používá ho k dotazům na databázi, vstup musí být sanitizován. AI-generovaný kód někdy sestavuje dotazy spojováním řetězců místo použití parametrizovaných dotazů. To je klasická cesta k SQL injekci, kde útočník může číst, upravovat nebo mazat vaši databázi přes pole formuláře.
Zastaralé závislosti. AI nástroje generují kód používající knihovny a balíčky. Některé z těchto balíčků mají známé zranitelnosti. Pokud generovaný projekt nezahrnuje proces aktualizace závislostí, web spouští se známými dírami, které se časem zhoršují.
Co zkontrolovat, než váš AI-generovaný web půjde do provozu
Nemusíte být bezpečnostní expert, abyste odchytili nejčastější problémy. Tyto kontroly pokrývají základy.
Otevřete vývojářské nástroje prohlížeče a podívejte se na zdroj. Klikněte pravým tlačítkem na stránku, vyberte „Zobrazit zdroj stránky” nebo otevřete konzoli. Hledejte v JavaScriptu API klíče, tokeny nebo přihlašovací údaje. Pokud najdete řetězce vypadající jako klíče (dlouhé náhodné znaky, často s předponou sk-, pk- nebo podobně), neměly by tam být.
Otestujte formuláře s neočekávaným vstupem. Zkuste odeslat kontaktní formulář s velmi dlouhým řetězcem, s HTML tagy, s SQL klíčovými slovy jako ’ OR 1=1— a s prázdnými poli. Pokud formulář přijme všechno bez námitky, serverová validace chybí nebo je slabá.
Zkontrolujte bezpečnostní hlavičky. Použijte bezplatný nástroj jako securityheaders.com k naskenování webu. Ukáže, které bezpečnostní hlavičky jsou přítomné a které chybí. Zelené skóre znamená, že základy jsou pokryté. Červené skóre znamená, že web nechává otevřené dveře.
Spusťte základní sken zranitelností. Nástroje jako Mozilla Observatory nebo Sucuri SiteCheck umí naskenovat web na běžné zranitelnosti. Nejsou komplexní, ale chytí zjevné problémy.
Zeptejte se svého web partnera na proces bezpečnostní kontroly. Pokud web postavil někdo jiný, zeptejte se konkrétně: jaké bezpečnostní hlavičky jsou nastavené, jak je validován vstup formulářů, jestli jsou aktualizované závislosti a jak se spravují přihlašovací údaje. Dobrý partner bude mít jasné odpovědi. Vágní odpověď je varovný signál.
Jak AI může skutečně pomoci s bezpečností
Tytéž nástroje, které vytvářejí bezpečnostní mezery, mohou pomoci je zavřít. Klíč je používat AI pro bezpečnostní kontrolu, nejen pro generování.
Revize kódu. Můžete vložit generovaný kód do AI nástroje a požádat ho o identifikaci bezpečnostních zranitelností. Nástroj označí běžné problémy jako nesanitizovaný vstup, odhalené přihlašovací údaje a chybějící validaci. To není náhrada za profesionální bezpečnostní audit, ale chytí problémy, které by jinely prošly bez povšimnutí.
Konfigurace bezpečnostních hlaviček. AI umí vygenerovat správnou konfiguraci bezpečnostních hlaviček pro váš webový server nebo hostingovou platformu. Hlavičky samy o sobě jsou dobře zdokumentované a AI je dobrá v produkci správných konfiguračních souborů pro konkrétní prostředí.
Audit závislostí. AI umí zkontrolovat seznam závislostí vašeho projektu a označit balíčky se známými zranitelnostmi. Může také navrhnout bezpečnější alternativy nebo aktualizované verze.
Průvodce penetračním testováním. AI vás provede základním kontrolním seznamem penetračního testování: co testovat, jak to testovat a co výsledky znamenají. To je užitečné pro majitele firmy, který chce pochopit bezpečnostní stav svého webu bez najímání penetračního testera na každou změnu.
Dokumentace. AI umí vygenerovat bezpečnostní dokumentaci pro váš web: jaká opatření jsou na místě, jak se spravují přihlašovací údaje, jak vypadá proces aktualizací. To je užitečné pro interní záznamy a pro prokázání náležité péče klientům nebo regulátorům.
Cena za chyby
Bezpečnostní průniky webů jsou drahé. Nejen v přímých nákladech — i když ty jsou reálné — ale v reputaci, důvěře zákazníků a čase.
Web označený Googlem jako „Tento web může poškodit váš počítač” ztratí většinu trafficu přes noc. Odstranění označení trvá dny až týdny, během kterých firma ztrácí poptávky a důvěryhodnost. Datový únik zahrnující informace zákazníků může spustit právní povinnosti, regulatorní oznámení a trvalé poškození reputace firmy.
Pro malou firmu je nejčastější bezpečnostní incident sofistikovaný útok. Je to kompromitovaný kontaktní formulář použitý pro spam, hacknutá stránka přesměrovávající návštěvníky na škodlivý web nebo hrubá síla na slabé heslo administrátora. Těm se dá předejít základními opatřeními, která nestojí téměř nic.
Co požadovat od svého web partnera
Pokud najímáte někoho na stavbu webu, bezpečnost by měla být součástí rozhovoru od začátku, ne dodatečným přídavkem.
Ptejte se na jejich vývojové postupy: validují vstup formulářů na serverové straně? Používají parametrizované dotazy? Nastavují bezpečnostní hlavičky? Mají proces aktualizace závislostí?
Ptejte se na nasazení: jak se spravují přihlašovací údaje? Jsou API klíče uloženy bezpečně? Je web servírován přes HTTPS? Jsou administrátorské stránky chráněné?
Ptejte se na monitoring: budete upozorněni, když web spadne? Je proces pro aplikování bezpečnostních aktualizací? Kdo je zodpovědný, pokud je po spuštění objevena zranitelnost?
Dobrý web partner bude mít odpovědi na tyto otázky. Nebude brát bezpečnost jako volitelnou nebo jako něco, co se přidá později. Postaví ji do základu, protože oprava bezpečnostního problému po spuštění je vždy dražší a narušující než prevence.
Jak k bezpečnosti přistupujeme v iDoWeb
Bezpečnost bereme jako základ, ne přídavek. Každý web, který stavíme, zahrnuje serverovou validaci formulářů, bezpečnostní hlavičky, HTTPS, bezpečnou správu přihlašovacích údajů a proces aktualizace závislostí. Generovaný kód kontrolujeme na běžné zranitelnosti před spuštěním.
To není proto, že očekáváme útok na každý web. Je to proto, že cena prevence je nízká a cena průniku vysoká. Web, který funguje, ale není bezpečný, je závazek, ne aktivum.
Pokud uvažujete o AI-asistovaném web projektu a chcete mít jistotu, že výsledek bude bezpečný od prvního dne, začněte tím, že se svého web partnera zeptáte na výše uvedené otázky. Odpovědi vám řeknou, jestli je bezpečnost součástí jejich procesu, nebo něco, v co doufají, že nepřijde na přetřes.
Související služba: Webdesign a obsahová strategie