Verkkosivusto ei valmistu pysyvästi julkaisupäivänä. Ohjelmistot, selaimet, integraatiot, sisällöt ja liiketoiminnan tarpeet muuttuvat, joten sivuston toimivuus edellyttää sovittua ylläpitoa. Ostajan kannalta tärkeintä on tietää, mitä palveluun kuuluu, kuka vastaa mistäkin ja miten ongelmat havaitaan ennen kuin ne häiritsevät asiakkaita tai myyntiä.
Ylläpito on osa verkkosivuston elinkaarta
Toimiva ylläpito pitää sivuston käytettävänä, turvallisena ja liiketoiminnan mukana kehittyvänä. Siihen kuuluvat teknisten päivitysten lisäksi valvonta, varmuuskopiot, käyttöoikeudet, virhetilanteisiin reagointi ja pienet jatkuvat parannukset. Pelkkä palvelintila ei vielä tarkoita, että joku tarkistaisi lomakkeet, korjaisi rikkoutuneen integraation tai huolehtisi julkaisujärjestelmän riippuvuuksista.
Tarvittava palvelutaso riippuu sivuston roolista. Yksinkertainen esittelysivusto, liidejä tuottava palvelusivusto ja maksamista käsittelevä verkkokauppa vaativat erilaisen valvonnan ja vasteajan. Ostajan kannattaa arvioida ylläpitoa sen perusteella, mitä käyttökatko, tietojen menetys tai toimimaton yhteydenotto yritykselle maksaisi.
Hyvä ylläpitopalvelu on määritelty konkreettisesti
Ylläpitosopimuksessa pitää erottaa ennakoiva työ, häiriöiden korjaaminen ja sivuston varsinainen jatkokehitys. Ennakoivaa työtä ovat esimerkiksi ohjelmistojen päivitykset, varmuuskopioiden seuranta, toimivuustarkistukset ja tietoturvahavaintojen käsittely. Sisältöjen lisääminen, uudet ominaisuudet ja laajat ulkoasumuutokset voivat kuulua erilliseen kehitysbudjettiin.
Palvelun arvoa ei voi arvioida pelkästään kuukausihinnasta. Tarjouksesta pitäisi selvitä, kuinka usein tarkistuksia tehdään, mitä seurataan automaattisesti, mikä käynnistää asiantuntijan työn ja kuinka nopeasti eri vakavuustason ongelmiin reagoidaan. Raportoinnin tulee näyttää tehdyt päivitykset, havaitut riskit ja avoimet toimenpiteet ymmärrettävästi.
- alustan, lisäosien ja muiden riippuvuuksien päivitykset
- varmuuskopiointi sekä palautusmenettelyn säännöllinen testaus
- saatavuuden, lomakkeiden, sertifikaattien ja integraatioiden valvonta
- tietoturvahavaintojen, virheiden ja muutospyyntöjen käsittely
Päivitykset ja pieni hyökkäyspinta pienentävät riskiä
Traficomin Kyberturvallisuuskeskus muistuttaa, että tunnettuja WordPress-haavoittuvuuksia voidaan hyödyntää hyvin nopeasti, jopa tunneissa. Julkaisujärjestelmä, teemat ja lisäosat on siksi pidettävä ajan tasalla, eikä automaattisten päivitysten onnistumista pidä vain olettaa. Sama periaate koskee muitakin teknologioita: tuotannossa käytettävien riippuvuuksien tuen ja haavoittuvuuksien tilaa on seurattava.
Tarpeettomat lisäosat, vanhat integraatiot ja käyttämättömät tunnukset lisäävät ylläpitotaakkaa ja hyökkäyspintaa. Kaikkea ei pidä asentaa varmuuden vuoksi. Muutokset tehdään hallitusti, testataan ennen tuotantoa ja dokumentoidaan, jotta päivityksen aiheuttama häiriö voidaan tunnistaa ja muutos tarvittaessa palauttaa turvallisesti.
- poista ominaisuudet, lisäosat ja tunnukset, joille ei ole omistajaa tai tarvetta
- seuraa myös käsin päivitettäviä komponentteja ja vanhenevia sertifikaatteja
- testaa päivitykset suhteessa tärkeimpiin asiakaspolkuihin
- kirjaa muutokset ja varmista palautusmahdollisuus ennen julkaisua
Käyttöoikeudet, varmuuskopiot ja suojaukset muodostavat kokonaisuuden
Hallintapaneeliin ja teknisiin ympäristöihin annetaan vain tehtävän vaatimat oikeudet. Traficom suosittelee vähimpien oikeuksien periaatetta ja monivaiheista tunnistautumista vähintään ylläpitotason tunnuksille. Kun työntekijä tai toimittaja vaihtuu, tarpeettomat käyttöoikeudet poistetaan viipymättä eikä yhteisiä pääkäyttäjätunnuksia jätetä ilman vastuuhenkilöä.
Varmuuskopio on hyödyllinen vasta, kun se on riittävän tuore, suojattu ja palautettavissa. Tietomurron jälkeen ei pidä palauttaa ympäristöä sokkona, vaan ensin varmistetaan, ettei hyökkääjällä ole enää pääsyä, palautettava versio on puhdas ja päivitykset tehdään ennen käyttöönottoa. HTTPS, turvalliset evästeasetukset ja harkittu Content Security Policy täydentävät suojausta, mutta eivät korvaa haavoittuvan koodin korjaamista.
Vastuunjako ratkaisee, mitä häiriössä tapahtuu
Traficomin WordPress-ohjeessa todetaan, että ulkopuolelta ostetun sivuston ylläpito- ja päivitysvastuu siirtyy asiakkaalle, jos muuta ei ole sovittu. Siksi vastuita ei kannata jättää oletusten varaan. Yrityksen, verkkosivukumppanin, hosting-palvelun ja mahdollisten integraatiotoimittajien tehtävät kirjataan niin, että vikatilanteessa tiedetään heti, kuka tutkii ja kuka voi tehdä muutoksen.
Kaikki häiriöt eivät ole samanarvoisia. Maksamisen, kirjautumisen tai liidilomakkeen estävä virhe tarvitsee yleensä nopeamman vasteen kuin kosmeettinen puute. Sopimukseen kannattaa liittää luokittelu, yhteydenottokanava ja eskalointitapa sekä määritellä, sisältyvätkö korjaukset hintaan vai laskutetaanko työ erikseen.
| Ylläpidon osa | Tyypillinen vastuu | Ostajan tarkistettava asia |
|---|---|---|
| Hosting ja infrastruktuuri | Palvelimen, verkon ja alustan saatavuus | Varmennukset, valvonta, kapasiteetti ja tukikanava |
| Sovellus ja sisältöjärjestelmä | Päivitykset, riippuvuudet, virheiden korjaus ja testaus | Päivitysrytmi, vasteajat ja muutosten rajaus |
| Sisällöt ja liiketoimintadata | Ajantasaisuus, omistajuus, integraatiot ja mittaus | Nimetyt omistajat, pääsyt ja varmuuskopioinnin laajuus |
Näin vertaat ylläpitotarjouksia
Pyydä tarjoajaa kuvaamaan palvelu tapahtumina eikä epämääräisenä huolenpitona: mitä tarkistetaan viikoittain tai kuukausittain, miten kriittinen haavoittuvuus käsitellään, mistä varmuuskopio palautetaan ja miten yhteydenottolomakkeen toimivuus todetaan. Selvitä myös, mitä tapahtuu sopimuksen päättyessä ja miten tunnukset, dokumentaatio ja aineistot luovutetaan yritykselle.
Hyvä ylläpito tekee tilanteen näkyväksi ja mahdollistaa päätökset ennen kiirettä. Se ei voi luvata täysin haavoittumatonta sivustoa tai katkotonta toimintaa, mutta sen pitää pienentää riskiä, nopeuttaa palautumista ja tarjota sovittu tapa kehittää sivustoa. Valitse palvelutaso sivuston liiketoimintakriittisyyden, ei valmiin paketin nimen perusteella.
- palvelun tarkka sisältö, poikkeukset ja lisätyön hinnoittelu
- valvottavat kohteet, vasteajat ja häiriöiden eskalointi
- varmuuskopioiden säilytys, suojaus ja palautuksen testaus
- tilien, lähdekoodin, dokumentaation ja datan omistajuus
Kun haluat verkkosivuston, jonka jatkuva ylläpito ja vastuut huomioidaan jo toteutuksessa, tutustu verkkosivupalveluumme.
Lähteet ja lisätiedot
Tietoturvaa ja ylläpitovastuita koskevat kohdat on tarkistettu Traficomin Kyberturvallisuuskeskuksen ja web.dev-palvelun virallisista ohjeista.
