Хостинг, SSL и почта: что на самом деле нужно бизнесу

Хостинг, шифрование и почта — из тех вещей, о которых почти никто не думает, пока что-то не сломается. Тогда техническая мелочь вдруг становится юридическим или деловым вопросом.

Хорошая новость: все три можно один раз правильно настроить и потом почти забыть. Эта статья о том, на что при этом обратить внимание.

Где живёт ваш сайт

Любой сайт лежит на сервере, который обслуживает провайдер — хостер. Звучит как чистая техника, но у этого есть юридические последствия.

Когда кто-то открывает ваш сайт, сервер обрабатывает данные: как минимум IP-адрес посетителя, который попадает в журналы. Если человек отправляет форму обратной связи, добавляются имя, email и сообщение. Это персональные данные, и хостер обрабатывает их по вашему поручению.

Договор, которого почти всегда нет

Отсюда обязанность, которую поразительно часто упускают.

Поскольку хостер обрабатывает данные по вашему поручению, с ним нужен договор об обработке данных по ст. 28 DSGVO — Auftragsverarbeitungsvertrag, AVV. Это обязательно, а не по желанию.

Нормальные провайдеры дают такой договор стандартно, обычно его заключают в пару кликов в личном кабинете. Нужно просто это сделать. И именно этого часто не происходит — потому что никто не подумал или потому что хостинг настраивал подрядчик и вопрос так и не поднял.

То же касается любого другого сервиса, который обрабатывает данные по вашему поручению: почтового провайдера, сервиса записи, инструмента аналитики. Каждому нужен свой договор. Что об этом писать в политике конфиденциальности — в статье про Impressum и DSGVO.

Почему сервер в ЕС проще

Где физически стоит сервер — не мелочь.

Если данные лежат на серверах внутри ЕС, на них напрямую распространяется европейское право защиты данных. Всё обозримо.

Если же данные передаются в третью страну, например в США, добавляются дополнительные требования. Это не запрещено, но усложняет правовую ситуацию и требует больше внимания в договоре и политике конфиденциальности.

Для небольшой компании редко есть веская причина взваливать на себя эту сложность. Хостер с дата-центром в ЕС — более простой путь.

Отдельно для нашей аудитории: если сайт раньше лежал у хостера в Украине, России или другой стране вне ЕС, при работе на немецком рынке его стоит перенести. Это не формальность — это ровно тот вопрос о передаче данных в третью страну.

SSL: бесплатно, но обязательно

SSL — точнее, сейчас TLS — это шифрование между браузером и сервером. Узнаётся по «https» в адресе и значку замка.

Несколько лет назад сертификат стоил денег и его нужно было продлевать каждый год. Это в прошлом. Через Let's Encrypt сертификаты бесплатные, и большинство современных хостеров ставят и продлевают их автоматически.

Если шифрования всё же нет, последствий три:

Браузер предупреждает. Сайты без HTTPS помечаются как «Не защищено». Для посетителя, который вот-вот доверит вам свои данные, это повод уйти.

Формы становятся небезопасными. Кто передаёт через форму персональные данные, обязан их надлежаще защищать. DSGVO в ст. 32 требует подходящих технических мер — а незашифрованная передача данных формы этому не соответствует.

Google предпочитает HTTPS. Шифрование — сигнал для ранжирования, хоть и слабый.

Поэтому на вопрос «нужен ли SSL» ответ один. Настоящий вопрос — ставит ли его ваш хостер автоматически. Хороший ставит.

Ловушка со шрифтами

Момент, который многих удивил и вызвал настоящую волну Abmahnung.

Многие сайты подгружают шрифты прямо с серверов Google. Это удобно, но есть последствие: при каждом заходе браузер посетителя соединяется с Google и передаёт свой IP-адрес.

Земельный суд Мюнхена I в январе 2022 года решил, что такое подключение без согласия нарушает DSGVO, и присудил посетителю 100 евро компенсации (дело 3 O 17493/20). Сумма звучит небольшой. Но решение вызвало волну Abmahnung, которая задела множество небольших компаний.

Решение простое: хранить шрифты на своём сервере. Тогда браузер грузит их с вашего сайта, а не с Google, и соединения с третьей стороной не возникает. Заодно исчезает частая причина для cookie-баннера — подробнее в статье про cookie-баннер.

Почта на своём домене

info@ваша-фирма.de вместо firma1985@gmail.com. Это больше, чем внешний вид.

Рабочий адрес на своём домене выглядит солидно. Предложение с бесплатного ящика заставляет воспринимать отправителя как временного — особенно в немецкой деловой среде, где на такие сигналы обращают внимание.

Плюс контроль. Адрес ваш, пока вам принадлежит домен. Смените провайдера — адрес останется тем же.

Почта на своём домене стоит недорого — обычно несколько евро в месяц или в год, в зависимости от провайдера и объёма. И здесь тоже: с почтовым провайдером нужен договор об обработке данных.

Порядок, в котором стоит заводить домен и почту в первые месяцы, я разбирал в статье о первом годе.

Всё на ваше имя

Принцип, который избавляет от многих проблем: домен, хостинг и почта должны быть оформлены на вас, а не на подрядчика.

Подрядчик может технически управлять всем. Его можно вписать как техническое контактное лицо. Но стороной договора и владельцем должны быть вы.

Кто это упустил, часто замечает, только когда подрядчик пропадает. Что тогда делать, описано в статье про потерянные доступы.

Резервные копии

Последний пункт, который тоже становится важен, когда уже поздно.

Многие хостеры делают резервные копии автоматически. Проверьте, как часто, сколько они хранятся и как получить к ним доступ в экстренном случае. Копия на том же сервере, что и сайт, мало помогает при атаке шифровальщика.

Ещё важнее: один раз проверьте, что восстановление действительно работает. Копия, которую нельзя развернуть, — не копия. Как действовать в экстренной ситуации — в статье о взломанных сайтах.

Хостинг и скорость

Хостер влияет и на то, как быстро грузится сайт. Перегруженный дешёвый сервер может тормозить даже хорошо сделанный сайт.

Для простых сайтов компаний это редко проблема, особенно если сайт отдаётся как статичные файлы. Почему скорость важна для посетителей и Google — в статье про Core Web Vitals.

Если хотите проверить, всё ли у вас оформлено правильно, — напишите, посмотрим вместе по-русски.

Частые вопросы

Нужен ли договор об обработке данных с хостером? Да. Хостер по вашему поручению обрабатывает персональные данные, например IP-адреса и данные форм. По ст. 28 DSGVO договор обязателен. Нормальные провайдеры дают его в личном кабинете.

Стоит ли SSL-сертификат денег? Обычно уже нет. Через Let's Encrypt сертификаты бесплатные, и большинство современных хостеров ставят и продлевают их автоматически.

Должен ли сервер стоять в Германии? Не обязательно в Германии, но в ЕС заметно проще. С серверами в третьих странах, например в США, добавляются требования к передаче данных.

Можно ли использовать Google Fonts? Можно, но грузите шрифты со своего сервера, а не с Google. Земельный суд Мюнхена I в 2022 году решил, что подключение через серверы Google без согласия нарушает DSGVO.

Стоит ли заводить почту на своём домене? Да. Она выглядит солиднее бесплатного адреса, принадлежит вам и остаётся прежней при смене провайдера. Стоит недорого.

На чьё имя оформлять домен и хостинг? На ваше. Подрядчик может технически всем управлять, но стороной договора и владельцем должны быть вы — иначе останетесь без доступа, если он пропадёт.

Коротко

Хостер с серверами в ЕС, заключённый договор об обработке данных, автоматический SSL и шрифты на своём сервере — так техническая основа юридически чиста.

Плюс почта на своём домене, всё на ваше имя и работающие резервные копии. Однажды настроив правильно, об этом почти не придётся думать.