This translation has not been editorially reviewed yet. The German version is authoritative. Deutsche Fassung →
Software-Stand
Proč je knihovna bez péče výrobce rizikem pro váš web?
Knihovna bez péče výrobce už nedostává bezpečnostní opravy — objeví-li se později mezera, zůstává trvale otevřená. Takové knihovny jsou hotové bloky kódu, které mnoho webů vkládá pro menu, galerie obrázků nebo vstupní formuláře. Kontrolní oblast Stav softwaru je rozpoznává ve zdrojovém kódu vaší stránky a nalezenou verzi porovnává s konci podpory, které výrobci sami zveřejnili.
Hotové stavební bloky nesou váš web
Málokterý web se píše úplně od nuly. Agentury sahají po osvědčených stavebních blocích: jQuery pomáhá s ovládacími prvky, Bootstrap dodává mřížku stránky, AngularJS a Vue řídí celé vstupní formuláře. Tyto stavební bloky se nazývají knihovny. Vězí jako soubory skriptů ve vaší stránce a běží v prohlížeči každého návštěvníka. Výrobce knihovny ji léta udržuje: opravuje chyby a uzavírá bezpečnostní mezery. Někdy péči o řadu verzí ukončí a odkáže na nástupkyni. Od tohoto konce podpory se pro starou řadu už neobjevují žádné opravy — bez ohledu na to, co se ještě najde. Knihovna běží dál, ale už ji nikdo neopravuje.
Zveřejněné konce podpory jsou doložitelná fakta
Kontrolní oblast se opírá výhradně o termíny, které výrobci sami zveřejnili. Příklady z katalogu kontrol: řady jQuery 1 a 2 se neudržují od roku 2016. AngularJS se oficiálně neudržuje od začátku roku 2022. Bootstrap 3 je bez podpory od poloviny roku 2019, Bootstrap 4 byl ukončen začátkem roku 2023. Vue 2 dosáhlo konce podpory koncem roku 2023. Najde-li kontrola některou z těchto řad na vaší stránce, jde o nejzávažnější nález této kontrolní oblasti: stojí 40 ze 100 bodů, a dílčí pečeť je tím mimo dosah. Toto vážení odpovídá riziku — chybějící péče výrobce váží víc než pouhé viditelné číslo verze.
Kontrola hodnotí péči výrobce, ne zranitelnost
Rozlišení je záměrné: nález konstatuje, že výrobce knihovnu opustil — ověřitelné fakt. Naproti tomu nikdy netvrdí, že je váš web napadnutelný; to by se zvenčí vůbec nedalo seriózně zjistit. Kontrola navíc čte jen to, co vaše stránka sama vydává: odkazy na skripty s viditelným číslem verze. Knihovny, které byly při stavbě stránky sloučeny do balíčku, zůstávají zvenčí neviditelné. Proto platí: prázdný nález znamená „nic rozpoznatelné“, nikdy „všechno aktuální“. Tato opatrnost je součástí kontrolního řádu — kontrolní oblast tvrdí jen to, co dokáže doložit místem ve zdrojovém kódu.
- Zeptejte se své agentury, které frontendové knihovny se na vašem webu používají — seznam by měl být krátký a úplný.
- Nechte si u každé knihovny říct, zda ji výrobce ještě udržuje.
- U konce podpory knihovny naplánujte přechod na udržovanou nástupnickou řadu — obvykle jde o menší přestavbu, ne o jedno kliknutí.
- Domluvte si pevný termín v roce, kdy vaše agentura projde stav softwaru webu a písemně ho zaznamená.
- Uchovávejte zprávy z kontrol — tak uvidíte v průběhu let, zda se stav údržby zlepšuje, nebo zhoršuje.
FAQ
Co znamená konec podpory u softwaru?
Výrobce veřejně oznámí, že řadu verzí svého softwaru dál neudržuje. Od tohoto termínu se už neobjevují žádné opravy chyb ani bezpečnostní opravy. Software sice běží dál, ale každá mezera, která se objeví po tomto datu, zůstává otevřená. Obvyklým východiskem je přechod na udržovanou nástupnickou řadu, kterou výrobce u konce podpory uvádí.
Je můj web nebezpečný, když knihovna dosáhla konce podpory?
To nález výslovně netvrdí. Konstatuje fakt: výrobce knihovnu už neudržuje, budoucí zjištěné mezery proto zůstávají otevřené. Zda je váš konkrétní web napadnutelný, závisí na mnoha okolnostech a zvenčí se to nedá zjistit. Nález je pracovní úkol s jasným směrem, ne diagnóza vloupání.
Mohu knihovnu bez péče výrobce prostě dál používat?
Technicky běží dál a často si toho léta nikdo nevšimne. Riziko přesto roste: pro neudržovaný software se neobjevují bezpečnostní opravy, zjištěné mezery zůstávají otevřené. Přechod na udržovanou řadu je jediné trvalé řešení. Čím déle se odkládá, tím větší bývá přestavba.
Rozpozná kontrola každou knihovnu na mém webu?
Ne, a ani to netvrdí. Rozpoznatelné je jen to, co stránka vkládá s viditelným číslem verze. Knihovny, které byly při stavbě webu sloučeny do společného balíčku, jsou zvenčí neviditelné. Prázdný nález proto znamená „nic rozpoznatelné“ — není to důkaz, že jsou všechny stavební bloky aktuální.