Хостинг, SSL і пошта: що насправді потрібно бізнесу

Хостинг, шифрування й пошта — із тих речей, про які майже ніхто не думає, поки щось не зламається. Тоді технічна дрібниця раптом стає юридичним або діловим питанням.

Добра новина: усі три можна один раз правильно налаштувати й потім майже забути. Ця стаття про те, на що при цьому звернути увагу.

Де живе ваш сайт

Будь-який сайт лежить на сервері, який обслуговує провайдер — хостер. Звучить як чиста техніка, але це має юридичні наслідки.

Коли хтось відкриває ваш сайт, сервер обробляє дані: щонайменше IP-адресу відвідувача, яка потрапляє в журнали. Якщо людина надсилає форму зворотного звʼязку, додаються імʼя, email і повідомлення. Це персональні дані, і хостер обробляє їх за вашим дорученням.

Договір, якого майже завжди немає

Звідси обовʼязок, який напрочуд часто упускають.

Оскільки хостер обробляє дані за вашим дорученням, із ним потрібен договір про обробку даних за ст. 28 DSGVO — Auftragsverarbeitungsvertrag, AVV. Це обовʼязково, а не за бажанням.

Нормальні провайдери дають такий договір стандартно, зазвичай його укладають за кілька кліків в особистому кабінеті. Треба просто це зробити. І саме цього часто не відбувається — бо ніхто не подумав або бо хостинг налаштовував підрядник і питання так і не порушив.

Те саме стосується будь-якого іншого сервісу, що обробляє дані за вашим дорученням: поштового провайдера, сервісу запису, інструмента аналітики. Кожному потрібен свій договір. Що про це писати в політиці конфіденційності — у статті про Impressum і DSGVO.

Чому сервер у ЄС простіше

Де фізично стоїть сервер — не дрібниця.

Якщо дані лежать на серверах усередині ЄС, на них напряму поширюється європейське право захисту даних. Усе оглядне.

Якщо ж дані передаються в третю країну, наприклад у США, додаються додаткові вимоги. Це не заборонено, але ускладнює правову ситуацію й потребує більше уваги в договорі й політиці конфіденційності.

Для невеликої компанії рідко є вагома причина брати на себе цю складність. Хостер із дата-центром у ЄС — простіший шлях.

Окремо для нашої аудиторії: якщо сайт раніше лежав у хостера в Україні чи іншій країні поза ЄС, для роботи на німецькому ринку його варто перенести. Це не формальність — це саме те питання про передачу даних у третю країну.

SSL: безкоштовно, але обовʼязково

SSL — точніше, зараз TLS — це шифрування між браузером і сервером. Упізнається за «https» в адресі й значком замка.

Кілька років тому сертифікат коштував грошей, і його треба було продовжувати щороку. Це в минулому. Через Let's Encrypt сертифікати безкоштовні, і більшість сучасних хостерів ставлять і продовжують їх автоматично.

Якщо шифрування все ж немає, наслідків три:

Браузер попереджає. Сайти без HTTPS позначаються як «Не захищено». Для відвідувача, який ось-ось довірить вам свої дані, це привід піти.

Форми стають небезпечними. Хто передає через форму персональні дані, зобовʼязаний їх належно захищати. DSGVO у ст. 32 вимагає відповідних технічних заходів — а незашифрована передача даних форми цьому не відповідає.

Google надає перевагу HTTPS. Шифрування — сигнал для ранжування, хоч і слабкий.

Тому на питання «чи потрібен SSL» відповідь одна. Справжнє питання — чи ставить його ваш хостер автоматично. Добрий ставить.

Пастка зі шрифтами

Момент, який багатьох здивував і викликав справжню хвилю Abmahnung.

Багато сайтів підвантажують шрифти прямо із серверів Google. Це зручно, але має наслідок: під час кожного заходу браузер відвідувача зʼєднується з Google і передає свою IP-адресу.

Земельний суд Мюнхена I у січні 2022 року вирішив, що таке підключення без згоди порушує DSGVO, і присудив відвідувачеві 100 євро компенсації (справа 3 O 17493/20). Сума звучить невеликою. Але рішення викликало хвилю Abmahnung, яка зачепила безліч невеликих компаній.

Рішення просте: зберігати шрифти на своєму сервері. Тоді браузер вантажить їх із вашого сайту, а не з Google, і зʼєднання з третьою стороною не виникає. Заразом зникає часта причина для cookie-банера — докладніше в статті про cookie-банер.

Пошта на своєму домені

info@ваша-фірма.de замість firma1985@gmail.com. Це більше, ніж зовнішній вигляд.

Робоча адреса на своєму домені виглядає солідно. Пропозиція з безкоштовної скриньки змушує сприймати відправника як тимчасового — особливо в німецькому діловому середовищі, де на такі сигнали звертають увагу.

Плюс контроль. Адреса ваша, поки вам належить домен. Змініть провайдера — адреса залишиться тією самою.

Пошта на своєму домені коштує недорого — зазвичай кілька євро на місяць чи на рік, залежно від провайдера й обсягу. І тут теж: із поштовим провайдером потрібен договір про обробку даних.

Порядок, у якому варто заводити домен і пошту в перші місяці, я розбирав у статті про перший рік.

Усе на ваше імʼя

Принцип, який позбавляє багатьох проблем: домен, хостинг і пошта мають бути оформлені на вас, а не на підрядника.

Підрядник може технічно всім керувати. Його можна вписати як технічну контактну особу. Але стороною договору й власником маєте бути ви.

Хто це упустив, часто помічає, лише коли підрядник зникає. Що тоді робити, описано в статті про втрачені доступи.

Резервні копії

Останній пункт, який теж стає важливим, коли вже пізно.

Багато хостерів роблять резервні копії автоматично. Перевірте, як часто, скільки вони зберігаються і як отримати до них доступ в екстреному разі. Копія на тому самому сервері, що й сайт, мало допомагає під час атаки шифрувальника.

Ще важливіше: один раз перевірте, що відновлення справді працює. Копія, яку не можна розгорнути, — не копія. Як діяти в екстреній ситуації — у статті про зламані сайти.

Хостинг і швидкість

Хостер впливає й на те, як швидко вантажиться сайт. Перевантажений дешевий сервер може гальмувати навіть добре зроблений сайт.

Для простих сайтів компаній це рідко проблема, особливо якщо сайт віддається як статичні файли. Чому швидкість важлива для відвідувачів і Google — у статті про Core Web Vitals.

Якщо хочете перевірити, чи все у вас оформлено правильно, — напишіть, подивимося разом українською.

Часті запитання

Чи потрібен договір про обробку даних із хостером? Так. Хостер за вашим дорученням обробляє персональні дані, наприклад IP-адреси й дані форм. За ст. 28 DSGVO договір обовʼязковий. Нормальні провайдери дають його в особистому кабінеті.

Чи коштує SSL-сертифікат грошей? Зазвичай уже ні. Через Let's Encrypt сертифікати безкоштовні, і більшість сучасних хостерів ставлять і продовжують їх автоматично.

Чи має сервер стояти в Німеччині? Не обовʼязково в Німеччині, але в ЄС помітно простіше. Із серверами в третіх країнах, наприклад у США, додаються вимоги до передачі даних.

Чи можна використовувати Google Fonts? Можна, але вантажте шрифти зі свого сервера, а не з Google. Земельний суд Мюнхена I у 2022 році вирішив, що підключення через сервери Google без згоди порушує DSGVO.

Чи варто заводити пошту на своєму домені? Так. Вона виглядає солідніше за безкоштовну адресу, належить вам і залишається тією самою під час зміни провайдера. Коштує недорого.

На чиє імʼя оформлювати домен і хостинг? На ваше. Підрядник може технічно всім керувати, але стороною договору й власником маєте бути ви — інакше залишитеся без доступу, якщо він зникне.

Коротко

Хостер із серверами в ЄС, укладений договір про обробку даних, автоматичний SSL і шрифти на своєму сервері — так технічна основа юридично чиста.

Плюс пошта на своєму домені, усе на ваше імʼя й робочі резервні копії. Один раз правильно налаштувавши, про це майже не доведеться думати.