Bezpieczeństwo i opieka nad stroną
Bezpieczeństwo to nie funkcja dodawana na końcu. Wbudowane w architekturę od pierwszej linii kodu, monitorowane 24/7, wspierane długoterminowo.
- Audyt
Audyty bezpieczeństwa
OWASP Top 10, dependency scans, security headers, code review pod kątem najczęstszych podatności. Audyt przed każdym deployem produkcyjnym.
- A11y
Accessibility
WCAG AA, ARIA, screen readers. Testowane przez axe DevTools i realnych użytkowników. Dostępność jest specyfikacją, nie afterthoughtem.
- Monitor
Performance monitoring
Real User Monitoring, alerty na regresję, uptime checks 24/7. Wiemy o problemie zanim zadzwoni klient — zwykle naprawiamy zanim zauważy.
- Care
Long-term care
Aktualizacje zależności, pilne fixy, drobne zmiany — miesięczne raporty z konkretami. Bez surprise invoice za „support”. Wiesz, za co płacisz.
Security baked-in, not bolted-on. Zero magii za kulisami — masz dostęp do repo, monitoringu i raportów. Wiesz dokładnie, co się dzieje z twoją aplikacją.
Jak to wygląda
- Przegląd
Co stoi i kto ma klucze
Wchodzimy w repozytorium, hosting i konta. Sprawdzamy wersje zależności, nagłówki bezpieczeństwa, co jest wystawione publicznie oraz kto ma dostęp do domeny i DNS. Ustalenia dostajesz w kolejności ryzyka: co da się realnie wykorzystać, co poczeka, czego nie ruszamy i dlaczego.
- Porządki
Dostępy, wersje, punkt powrotu
Domena, DNS, hosting i repozytorium lądują na twojej firmie, my dostajemy do nich dostęp jako współpracownicy. Podnosimy zależności, ustawiamy nagłówki, włączamy kopie i raz przechodzimy powrót do poprzedniej wersji, żeby wiedzieć, że działa. Zostaje komplet dostępów i stan, do którego zawsze można wrócić.
- Rytm
Miesięczne okno i jedno zgłoszenie
Raz w miesiącu okno na aktualizacje i drobne zmiany, między nimi pracuje monitoring. Awarię zgłaszasz jedną wiadomością — bez numeru zgłoszenia, bez pierwszej linii wsparcia, bez tłumaczenia sprawy od początku trzeciej osobie. Na koniec miesiąca dostajesz raport: co podniesione, co zmienione, czego nie zrobiliśmy i dlaczego.
Decyzje z wdrożonych stron
Zero pól formularza na całej stronie
Na ekpol-elektryk.pl nie ma ani jednego pola formularza. Numer jedzie w przyklejonym nagłówku przez całą stronę, a sekcja Kontakt to trzy kafle: telefon, e-mail, adres. Powód jest prozaiczny — awarii nikt nie zgłasza formularzem. Efekt uboczny zostaje na lata: nie ma endpointu do zasypania spamem ani bazy zgłoszeń do wycieku.
Serwis w godzinach pracy, nie 24/7
Na ekpol-elektryk.pl karta „Serwis i Awarie” kończy się zdaniem o dostępności w godzinach pracy, a dane strukturalne podają te same godziny co sekcja kontakt. Baner „awarie 24/7” ściągnąłby telefony o drugiej w nocy, których jedna osoba nie odbierze — a nieodebrany telefon wraca jako opinia w profilu Google.
Pasujemy, gdy
- Aplikacja jest w produkcji, nie w MVP
- Trzymasz dane użytkowników
- Chcesz długoterminowego partnerstwa
Prawdopodobnie nie my, gdy
- Strona jest statyczna, bez backendu
- Masz własny zespół security
- Szukasz jednorazowego zlecenia
Częste pytania
- Czy stronę w Next.js da się zhakować?
- Każdą stronę da się zaatakować, pytanie tylko czym. Strona w Next.js nie ma panelu admina ani wtyczek, więc odpada najczęstszy wektor z WordPressa — nieaktualizowany plugin. Zostają trzy realne: przejęte konto hostingu lub domeny, podatna zależność w package.json i twoje własne endpointy API. Te trzy pilnujemy: dwuskładnikowe logowanie wszędzie, skany zależności, zero endpointów, których nie potrzebujesz.
- Co obejmuje opieka, a co jest już osobnym zleceniem?
- Granica jest prosta: opieka utrzymuje przy życiu to, co już stoi — aktualizacje zależności, poprawki, drobne zmiany treści, monitoring i kopie. Wszystko, co dokłada nową rzecz — sekcja, integracja, druga wersja językowa, sklep — to osobny zakres, ustalany przed startem. Jeśli nie wiadomo, po której stronie leży zadanie, mówimy to przed jego zrobieniem.
- Kto jest właścicielem domeny, hostingu i kodu — wy czy ja?
- Ty. Domenę, hosting i konta analityki rejestrujemy na twoją firmę, kod ma repozytorium, do którego masz dostęp od pierwszego commita. My jesteśmy w tych kontach współpracownikami, nie właścicielami. Jeśli kiedyś zdecydujesz się pracować z kimś innym, odbierasz nam dostępy i nic nie przestaje działać. Nie ma niczego, co trzymamy u siebie.
- Co się dzieje, kiedy strona padnie w nocy albo w weekend?
- Monitoring alarmuje nas, nie ciebie — zwykle wiemy pierwsi. Nie sprzedajemy jednak dyżuru o trzeciej nad ranem: jesteśmy trzema osobami i wolimy powiedzieć to wprost, niż wpisać do umowy zapis, którego nie dowieziemy. Za to każdy deploy jest wersjonowany, więc powrót do ostatniej działającej wersji to kliknięcie, nie odbudowa z kopii.