Případovou studii si každý vybere tak, aby vyšla. Proto ukazujeme celé měření. Mezi 2. červnem a 2. srpnem 2026 prošlo 233 českých firemních webů a vzniklo 7 492 nálezů. Níže je jejich rozložení podle závažnosti, oblasti a typu, i to, co se opakuje nejčastěji.
Devadesát devět míst, kde byl v době skenu průnik otázkou odhodlání, ne dovednosti. Část z nich je vázaná na verzi softwaru, takže dnešní stav potvrdí až nové měření. Zbylé tři stupně určují, co spěchá a co počká.
| Závažnost | Nálezů | Podíl | Co to znamená |
|---|---|---|---|
| Kritická | 99 | 1,3 % | V době skenu zneužitelné hned, obvykle bez potřeby přihlášení. |
| Vysoká | 2 679 | 35,8 % | Vyžaduje nápravu v řádu dnů až týdnů. |
| Střední | 3 557 | 47,5 % | Zhoršuje odolnost nebo dostupnost, samo o sobě průnik neumožní. |
| Nízká | 1 157 | 15,4 % | Hygiena a doporučení. |
Druhý sloupec říká, u kolika z 233 subjektů se v dané oblasti našlo aspoň něco. Žádná oblast není prázdná ani u jedné pětiny korpusu. Věta „tohle se nás netýká" se v datech nepotvrzuje.
| Oblast | Nálezů | Subjektů s aspoň jedním nálezem |
|---|---|---|
| Bezpečnost | 1 821 | 228 z 233 |
| SEO a nalezitelnost | 1 459 | 227 z 233 |
| Výkon | 1 256 | 230 z 233 |
| Přístupnost a použitelnost | 1 145 | 219 z 233 |
| Obsah | 1 116 | 220 z 233 |
| Ochrana osobních údajů | 695 | 220 z 233 |
Typy nálezů zjištěné u pěti a více subjektů, a jen ty, kde převažuje ověřený nález nad odhadem. Všimněte si desátého řádku: u 43 z 233 webů běžela v době skenu verze jQuery se zranitelností vedenou v katalogu aktivně zneužívaných zranitelností CISA. Není to exotický scénář, je to knihovna, kterou nikdo neaktualizoval. Zda tam je i dnes, ukáže až nové měření.
| Typ nálezu | Subjektů | Převažující závažnost |
|---|---|---|
| Nedostatečný barevný kontrast textu | 180 z 233 | Vysoká |
| Odkazy bez přístupného názvu | 154 z 233 | Vysoká |
| Nevyužité CSS blokuje vykreslení stránky na mobilu | 113 z 233 | Střední |
| Chybí orientační prvek main | 95 z 233 | Střední |
| Chybí odkaz pro přeskočení na obsah | 88 z 233 | Střední |
| Řetězec přesměrování přidává latenci na mobilu | 85 z 233 | Střední |
| Obrázky bez alternativního textu | 83 z 233 | Vysoká |
| Chybí nadpis první úrovně | 54 z 233 | Střední |
| Chybí soubor security.txt | 47 z 233 | Nízká |
| Verze jQuery se zranitelností vedenou v katalogu CISA KEV | 43 z 233 | Kritická v době skenu |
| Chybí atribut lang na html | 43 z 233 | Vysoká |
| Chybí sitemap.xml | 41 z 233 | Střední |
| Vypnuté přibližování stránky | 31 z 233 | Vysoká |
| Chybí DMARC záznam, spoofing e-mailu není blokován | 18 z 233 | Vysoká |
Jednotlivé oblasti rozepisujeme ve studiích a u každého čísla stojí, jak vzniklo, kolik subjektů z něj vypadlo a proč. Závěr, který si nemůžete přepočítat, není důkaz.
Historicky rozsireny profil 2 869 pozorovani z 2 869: 860 z 2 869 s heuristickou detekci WordPress a 2 009 z 2 869 ostatnich. Median historicke odpovedi 601 ms u 860 z 860 proti 218 ms u 2 009 z 2 009 a mediany vsech sdilenych ciselnych poli. Export 2026-03-19 je export, ne sken.
Originální studie CIAD: živý sken strukturovaných dat (JSON-LD, microdata, RDFa) a sitemap.xml u českých firemních webů, měřeno 3. 8. 2026. U 61,9 % z 236 dosažitelných webů po vyloučení hloubkového shluku (146 domén) crawler nenajde žádná strukturovaná data. Zhruba čtvrtina existujících sitemap souborů (45 ze 170) není platné XML.
Originální studie CIAD: živý test přístupnosti (axe-core, pravidla WCAG) na 299 českých firemních doménách, měřeno 3. 8. 2026. U 98,7 % z 224 dostupných webů po vyloučení hloubkového shluku automatizovaný test našel alespoň jedno porušení pravidla přístupnosti.
Originální studie CIAD: šest bezpečnostních HTTP hlaviček změřeno na 266 dostupných webech napříč obory v Česku, živě 3. 8. 2026. Skóre 0 ze 6 má 41 % webů, skóre 5 nebo 6 jen 15 %. Hlavičky se navíc neobjevují nezávisle na sobě: web se skóre 0 je v datech asi třikrát četnější a web se skóre 6 přes dvěstěkrát četnější, než by odpovídalo náhodě.
Originální studie CIAD: živý DNS sken SPF, DKIM a DMARC politik u 299 českých firemních domén, měřeno 3. 8. 2026. Jen 62 z 280 hodnotitelných domén (22,1 %) má DMARC politiku, která přijímajícím serverům přikazuje podvrženou poštu odmítnout nebo dát do spamu.
Originální studie CIAD: živé pasivní měření sledovacích požadavků třetích stran u 247 vyhodnotitelných z 299 českých firemních domén po vyloučení hloubkového shluku, měřeno 3. 8. 2026. U 69,2 % zkoumaných webů odešel sledovací požadavek dřív, než návštěvník cokoli zvolil na cookie liště.
Originální studie CIAD: živé měření rychlosti načítání (Google PageSpeed Insights) u českých firemních webů, mobil i počítač, měřeno 3. 8. 2026. Na mobilu má 86,0 % zkoumaných webů dobu načtení hlavního obsahu nad hranicí 4000 ms, kterou stanovil Google (n=207), na počítači jen 7,2 % (n=209).
Originální studie CIAD: živý sken robots.txt a TLS zabezpečení u 299 českých firemních domén, měřeno 3. 8. 2026. U 93,0 % zkoumaných webů po vyloučení hloubkového shluku majitel neudělal o AI robotech žádné rozhodnutí, ani blokaci, ani povolení.
Studie CIAD: dvě pasivní měření bezpečnostních HTTP hlaviček u 238 webů advokátních kanceláří po vyloučení hloubkového shluku. U 197 z 206 srovnatelných webů se nic nezměnilo.
Korpus je příležitostný výběr 233 českých firemních webů, ne náhodný vzorek české ekonomiky. Neříká, jak je na tom průměrná česká firma, a zobecnit ho na jednotlivá odvětví nejde: jeho skladba kopíruje skladbu poptávky, takže některá odvětví jsou zastoupena silněji. Právě proto tu nenajdete ani jedno číslo rozepsané po odvětvích, i když by se v grafu vyjímalo lépe.
Počty vycházejí z jednoho průchodu mezi 2. 6. a 2. 8. 2026. Web se mění, takže totéž měření o měsíc později vrátí jiná čísla. Nálezy s nižší mírou jistoty jsme z přehledu vynechali, i když by souhrn nafoukly.
Vstupní audit nepotřebuje přístupy do vašich systémů. Než napíšete na office@ciad.cz, projděte si průběh auditu fázi po fázi, ať víte, do čeho jdete.