Używaj unikalnych haseł i dodatkowego uwierzytelniania tam, gdzie jest dostępne. Najpierw zabezpiecz pocztę, domenę oraz panel hostingu, bo przez te konta można odzyskać lub zmienić dostęp do pozostałych usług.
Zrób mapę kont krytycznych
Spisz rejestratora domeny, operatora DNS, hosting, pocztę, CMS i bramkę płatniczą. Ustal właściciela konta oraz adres odzyskiwania. Firma nie powinna stracić dostępu do domeny dlatego, że konto należało wyłącznie do dawnego wykonawcy.
Zwróć uwagę na łańcuch zależności: reset panelu trafia na e-mail, ale reset e-maila może zależeć od numeru telefonu. Sprawdź, czy te metody są aktualne. Kontakt awaryjny musi być dostępny również podczas awarii głównej domeny.
Unikalne hasła zamiast zapamiętywania schematu
Menedżer haseł ułatwia tworzenie długich, losowych wartości i przechowywanie ich dla różnych serwisów. Hasło „Firma2026!” powtarzane z inną cyfrą nie daje takiego samego rozdzielenia. Wyciek jednej usługi nie powinien otwierać pozostałych.
Przy współpracy zespołowej użyj mechanizmu uprawnień i współdzielenia przeznaczonego do firmy. Nie wysyłaj haseł w jednym wątku komunikatora wraz z nazwą konta i adresem panelu. Nie przechowuj całej listy w publicznym arkuszu.
Włącz 2FA i od razu zaplanuj odzyskanie
Jeżeli serwis wspiera klucze bezpieczeństwa lub passkeys, sprawdź tę możliwość. Kody z aplikacji uwierzytelniającej mogą być kolejną dostępną opcją. Metody mają różną odporność na phishing; kod wpisywany na fałszywej stronie może zostać przechwycony.
Po włączeniu zapisz kody odzyskiwania poza samym telefonem, w bezpiecznym miejscu. Sprawdź możliwość dodania drugiego urządzenia lub klucza zgodnie z polityką firmy. Utrata telefonu nie powinna skutkować chaotycznym wyłączaniem ochrony wszystkich kont.
Role, a nie jeden administrator
Każda osoba powinna mieć osobny dostęp, jeśli usługa to umożliwia. Uprawnienia dobierz do pracy. Wykonawca potrzebujący edycji strony niekoniecznie potrzebuje zmiany DNS i wszystkich skrzynek. Przy końcu współpracy usuń konto, tokeny i klucze, a nie tylko zmień hasło wspólnego użytkownika.
Prowadź prostą listę: osoba, usługa, zakres, data nadania i termin przeglądu. Lista nie powinna zawierać samych sekretów. Kontrola uprawnień jest szczególnie ważna, gdy firma ma kilka domen i aplikacji.
Jak rozpoznać próbę wyłudzenia?
Przy wiadomości o zawieszeniu hostingu wejdź do panelu przez zapisany adres, nie przez podejrzany link. Sprawdź nazwę domeny w pasku przeglądarki. Obsługa nie potrzebuje Twojego kodu jednorazowego, aby „potwierdzić konto”. Prośba o hasło i kod w jednej wiadomości wymaga niezależnej weryfikacji.
Przy dostępie do usług Castpol stosuj te same zasady co dla poczty i CMS. Ustal dostępne metody zabezpieczenia w konkretnym panelu. Dla administratorów serwera dodatkowym tematem są klucze SSH, a dla integracji — tokeny API.
Źródła i dokumentacja
Dokumentacja do dalszej weryfikacji ustawień i wymagań swojej wersji.