Spis treści
Aktualizacja z 10 lipca 2026 r. Pierwsza wersja tego artykułu opierała się na 50 domenach i zawierała stwierdzenie, że dwie trzecie polskich gmin nie korzystało z protokołu HTTPS. Próba ta była niewielka i nieobiektywna. Ponownie przeanalizowałem 2442 z 2479 polskich gmin i przeredagowałem artykuł w oparciu o pełne dane. Prawdziwe liczby przedstawiono poniżej.
W urzędzie miasta wypełniasz formularz. Wpisujesz swój numer identyfikacyjny, adres i datę urodzenia. Klikasz „Wyślij”. Dobra wiadomość: na niemal każdej polskiej stronie internetowej gminy połączenie to jest obecnie szyfrowane. Problem tkwi w tym, co dzieje się dalej.
Przeskanowałem 2442 z 2479 gmin w Polsce – każdą z nich, która posiadała działający adres internetowy w oficjalnym rejestrze MSWiA. Zrobiłem to w sposób pasywny, nie ingerując w żaden system. Wykorzystałem jedynie protokół SSL, nagłówki HTTP i DNS – czyli elementy, które każdy może zobaczyć z zewnątrz.
Co to właściwie oznacza
Zacznijmy od dobrych wiadomości, bo takie są. Protokół HTTPS w sektorze publicznym w Polsce jest dostępny niemal wszędzie. Tylko około 1 procent gmin nie korzysta w ogóle z protokołu HTTPS. Kłódka, której szuka większość mieszkańców, zazwyczaj tam jest.
Szyfrowanie jest jednak fundamentem, a nie samym domem. I prawie nic na nim nie stoi.
67 procent gmin nie wysyła nagłówka HSTS. 77 procent nie posiada polityki Content-Security-Policy. 79 procent nie ustawia polityki Permissions-Policy. 58 procent nie posiada zabezpieczeń przed clickjackingiem. Co trzecia gmina ma co najmniej jedną lukę, którą oceniam jako wysokiego ryzyka.
W kwestii statystyk dotyczących protokołu HTTPS jest też pewien mniej oczywisty aspekt. 9 procent gmin posiada ważny certyfikat, ale nadal udostępnia treści przez zwykły protokół HTTP, jeśli użytkownik spróbuje uzyskać do nich dostęp tą drogą, ponieważ nikt nie skonfigurował przekierowania. Szyfrowanie istnieje, ale połączenie może po cichu z niego wypadnąć, a dane logowania przesłane przez ten przypadkowy protokół HTTP stają się narażone na atak. Sytuacja pogarsza się, gdy to samo hasło jest używane w innych miejscach – właśnie ten nawyk leży u podstaw większości bezpieczeństwo haseł wszędzie pełno jest porażek.
Dlaczego wszyscy patrzą w złym kierunku
Większość dyskusji na temat cyberbezpieczeństwa w sektorze publicznym kręci się wokół oprogramowania ransomware, hakerów w bluzach z kapturem i ataków z zagranicy. To wygodna narracja. Zrzuca winę na “rosyjskich hakerów” – cel, z którym tak naprawdę nikt nie może nic zrobić. Nudne sprawy, takie, które porusza się w porządnym strategia cyberbezpieczeństwa, nigdy nie trafia na pierwsze strony gazet.
Prawdziwy problem jest nudny. W konfiguracji serwera brakuje kilku wierszy. Przekierowanie na HTTPS, którego nigdy nie skonfigurowano, nagłówek bezpieczeństwa, którego nikt nie dodał. To zwykłe zaniedbanie, a skan pasywny wykrywa je w ciągu kilku sekund, nawet nie wchodząc do wnętrza systemu.
Żadna z tych nagłówków nie jest skomplikowana. Wystarczy je raz ustawić w pliku konfiguracyjnym, a będą działać przez lata. Brak nagłówków Content-Security-Policy lub X-Frame-Options pozwala komuś wstrzyknąć obcy kod na stronę urzędu lub ukryć prawdziwą witrynę w niewidocznej ramce, którą kontroluje. W przypadku witryny, na której mieszkańcy wprowadzają dane osobowe, nie jest to tylko kwestia estetyki.
Co to oznacza dla Ciebie, jeśli prowadzisz jedną z takich stron
Jeśli strona internetowa gminy nadal działa wyłącznie w protokole HTTP – czyli te 9 procent – stanowi to bezpośredni problem w kontekście RODO. Przetwarzacie dane obywateli bez podstawowej ochrony podczas przesyłania, a audytor nie musi być hakerem, aby to dostrzec. Wystarczy, że otworzy stronę w protokole HTTP i zobaczy, jak znika szyfrowanie.
Brakujące nagłówki zabezpieczeń znajdują się na kolejnym poziomie. Stanowią one “odpowiednie środki techniczne”, których wymaga rozporządzenie – te, których pominięcie trzeba umieć uzasadnić. “Nigdy nie zdążyliśmy tego zrobić” nie jest odpowiedzią, jaką chcesz mieć w dokumentacji po wystąpieniu incydentu.
Rozwiązania techniczne – wyjaśnione bez żargonu
HTTPS to szyfrowanie połączenia. Polskie gminy mają tę funkcję. To jest osiągnięcie, które warto zachować.
HSTS nakazuje przeglądarce, by zawsze łączyła się z witryną w trybie szyfrowanym i nigdy w inny sposób. 67 procent gmin objętych badaniem nie wysyła tego nagłówka, więc osoba atakująca nadal może próbować wymusić, by pierwsze połączenie odbyło się w trybie zwykłego HTTP.
CSP i X-Frame-Options, które zostały omówione w Przewodnik OWASP dotyczący bezpiecznych nagłówków, utrudniają wstrzyknięcie obcego kodu do strony lub ukrycie legalnej witryny w niewidocznej ramce kontrolowanej przez kogoś innego.
Certyfikat SSL można uzyskać bezpłatnie za pośrednictwem Let’s Encrypt, a większość gmin już takie rozwiązanie stosuje. Dodanie tych nagłówków zajmuje zaledwie kilka wierszy w pliku konfiguracyjnym serwera i pół godziny twojego czasu – można to załatwić podczas przerwy na kawę.
Sprawdź swoją stronę już dziś
Otwórz swoją stronę w nowej karcie. Prawdopodobnie widoczna jest ikona kłódki, co jest dobrym znakiem. Teraz otwórz konsolę programisty i sprawdź nagłówki odpowiedzi. To właśnie tam kryje się luka: brak HSTS, brak CSP, brak ochrony przed ramkami. Jeśli ich brakuje, wykryłeś to przed kolejnym audytem.
Pobierz pełną kartę wyników w formacie PDF, zawierającą zestawienie według rodzaju gminy.
Dodaj komentarz