Místo jedné vybrané zakázky ukazujeme celý korpus. Mezi 2. červnem a 2. srpnem 2026 prošlo auditem 233 českých firemních webů a vzniklo 7 492 nálezů. Níže je jejich rozložení podle závažnosti, oblasti a typu, včetně toho, co se opakuje nejčastěji.
Kritických nálezů je málo, ale nejsou nulové. Devětadevadesát z nich znamená devětadevadesát míst, kde je průnik otázkou odhodlání, ne dovednosti.
| Závažnost | Nálezů | Podíl | Co to znamená |
|---|---|---|---|
| Kritická | 99 | 1,3 % | Zneužitelné hned, obvykle bez potřeby přihlášení. |
| Vysoká | 2 679 | 35,8 % | Vyžaduje nápravu v řádu dnů až týdnů. |
| Střední | 3 557 | 47,5 % | Zhoršuje odolnost nebo dostupnost, samo o sobě průnik neumožní. |
| Nízká | 1 157 | 15,4 % | Hygiena a doporučení. |
Druhý sloupec říká, u kolika z 233 subjektů se v dané oblasti našlo aspoň něco. Žádná oblast není prázdná ani u jedné pětiny korpusu.
| Oblast | Nálezů | Subjektů s aspoň jedním nálezem |
|---|---|---|
| Bezpečnost | 1 821 | 228 z 233 |
| SEO a nalezitelnost | 1 459 | 227 z 233 |
| Výkon | 1 256 | 230 z 233 |
| Přístupnost a použitelnost | 1 145 | 219 z 233 |
| Obsah | 1 116 | 220 z 233 |
| Ochrana osobních údajů | 695 | 220 z 233 |
Typy nálezů zjištěné u pěti a více subjektů. Uvádíme jen ty, u kterých převažuje ověřený nález, nikoli odhad. Za pozornost stojí desátý řádek: známá zranitelnost jQuery vedená v katalogu aktivně zneužívaných zranitelností CISA u 43 z 233 webů.
| Typ nálezu | Subjektů | Převažující závažnost |
|---|---|---|
| Nedostatečný barevný kontrast textu | 180 z 233 | Vysoká |
| Odkazy bez přístupného názvu | 154 z 233 | Vysoká |
| Nevyužité CSS blokuje vykreslení stránky na mobilu | 113 z 233 | Střední |
| Chybí orientační prvek main | 95 z 233 | Střední |
| Chybí odkaz pro přeskočení na obsah | 88 z 233 | Střední |
| Řetězec přesměrování přidává latenci na mobilu | 85 z 233 | Střední |
| Obrázky bez alternativního textu | 83 z 233 | Vysoká |
| Chybí nadpis první úrovně | 54 z 233 | Střední |
| Chybí soubor security.txt | 47 z 233 | Nízká |
| Známá zranitelnost jQuery vedená v katalogu CISA KEV | 43 z 233 | Kritická |
| Chybí atribut lang na html | 43 z 233 | Vysoká |
| Chybí sitemap.xml | 41 z 233 | Střední |
| Vypnuté přibližování stránky | 31 z 233 | Vysoká |
| Chybí DMARC záznam, spoofing e-mailu není blokován | 18 z 233 | Vysoká |
Jednotlivé oblasti popisujeme ve studiích, kde je u každého čísla uvedeno, jak vznikalo, kolik subjektů z něj vypadlo a proč. Závěry si tak lze ověřit, ne jen přečíst.
Originální studie CIAD: živý DNS sken SPF, DKIM a DMARC politik u 299 českých firemních domén, měřeno 3. 8. 2026. Jen 66 z 297 hodnotitelných domén (22,2 %) má DMARC politiku, která přijímajícím serverům přikazuje podvrženou poštu odmítnout nebo dát do spamu.
Originální studie CIAD: živé pasivní měření sledovacích požadavků třetích stran u 264 vyhodnotitelných z 299 českých firemních domén, měřeno 3. 8. 2026. U 69,7 % zkoumaných webů odešel sledovací požadavek dřív, než návštěvník cokoli zvolil na cookie liště.
Originální studie CIAD: živé měření rychlosti načítání (Google PageSpeed Insights) u českých firemních webů, mobil i počítač, měřeno 3. 8. 2026. Na mobilu má 86,6 % zkoumaných webů dobu načtení hlavního obsahu nad hranicí 4000 ms, kterou stanovil Google (n=224), na počítači jen 7,1 % (n=226).
Originální studie CIAD: živý sken robots.txt a TLS zabezpečení u 299 českých firemních domén, měřeno 3. 8. 2026. U 92,7 % zkoumaných webů majitel neudělal o AI robotech žádné rozhodnutí, ani blokaci, ani povolení.
Studie CIAD: dvě pasivní měření bezpečnostních HTTP hlaviček u 239 webů advokátních kanceláří. U 198 z 207 srovnatelných webů se nic nezměnilo.
Korpus je příležitostný výběr 233 českých firemních webů, ne náhodný vzorek české ekonomiky. Neříká, jak je na tom průměrná česká firma, a čísla z něj nelze zobecňovat na jednotlivá odvětví. Skladba korpusu navíc kopíruje skladbu poptávky, takže některá odvětví jsou zastoupena silněji než jiná. Právě proto tu nenajdete ani jedno číslo rozepsané po odvětvích.
Uvedené počty vycházejí z jednoho průchodu mezi 2. 6. a 2. 8. 2026. Web se mění, takže totéž měření o měsíc později dá jiná čísla. Nálezy zjištěné jen s nižší mírou jistoty jsme z přehledu vynechali.
Vstupní audit nepotřebuje přístupy do systémů a výstup má do pěti dnů. Než napíšete na office@ciad.cz, můžete si projítprůběh auditu fázi po fázi.