Общинският уебсайт през 2026 г. – между достъпността и мрежовата сигурност

През 2026 г. Министерството на електронното управление публикува график за проверки на интернет страниците и мобилните приложения във връзка с изискванията за достъпност. Това поставя темата за общинските сайтове в нов контекст.

Важно е обаче да се направи ясно разграничение – планираните проверки са насочени към достъпността, но паралелно с това продължават да действат изискванията за мрежова и информационна сигурност по Наредбата за минималните изисквания за мрежова и информационна сигурност (НМИМИС).

Това са две различни направления. Едното гарантира равнопоставен достъп до информация. Другото гарантира защита на данните и устойчивост на системата. Общинският уебсайт трябва да покрива и двете.

Уебсайтът като част от информационната инфраструктура
Днес сайтът на една община не е просто информационна страница. Той е:
– публична административна система
– интерфейс към регистри
– канал за справки за местни данъци и такси
– връзка към деловодни системи
– входна точка за обработване на лични данни
Това означава, че той е част от цифровата инфраструктура на институцията. Следователно към него трябва да се подхожда със същата сериозност, както към вътрешните информационни системи.

Домейнът – цифровата идентичност на институцията
Първата техническа проверка започва с домейна. Използването на национален .bg домейн не е формалност, а елемент от институционалната идентичност. Домейнът е първият индикатор за легитимност. В условията на нарастващи фишинг атаки именно адресната лента в браузъра е първата линия на доверие.

Когато гражданинът търси информация или извършва справка, той трябва ясно да разпознае, че се намира на официален български публичен ресурс. Доверието започва още преди съдържанието.

Криптираната връзка – реалната защита зад HTTPS
Катинарът в браузъра е визуалният символ на криптирана връзка. Зад него стои SSL/TLS сертификат – цифров механизъм, който удостоверява самоличността на сървъра и осигурява криптиране на комуникацията.

Криптирането означава, че данните, които преминават между гражданина и сървъра, не могат да бъдат прочетени при прихващане. Това е критично важно, когато през сайта се извършват:
– справки по ЕГН
– проверки на задължения
– подаване на електронни заявления
– изпращане на лични данни чрез формуляри
Особено внимание следва да се обърне на поддомейните. В практиката често модулите за данъци или деловодни справки се намират на отделни адреси. Ако сертификатът не покрива всички поддомейни чрез т.нар. wildcard конфигурация, част от електронните услуги може да останат извън защитения обхват. Това не е технически детайл, а реален риск за преноса на лични данни.

TLS версиите – защо остарялата криптография не е достатъчна
HTTPS не е достатъчен сам по себе си. От значение е каква версия на TLS се използва. По-старите версии на TLS (1.0 и 1.1) съдържат криптографски слабости и позволяват използването на уязвими алгоритми. Допускането им означава, че сървърът позволява използване на отслабена защита.

Съвременната практика изисква използване единствено на TLS 1.2 и 1.3, които елиминират остарелите механизми и осигуряват по-висока степен на сигурност. Когато се говори за защита на лични данни, компромис с криптографията не следва да бъде допускан.
Защитата на сесиите – ролята на бисквитките
Административните модули поддържат потребителски сесии чрез бисквитки. Тези малки файлове съдържат идентификатори, чрез които системата разпознава потребителя.

Ако те не са правилно конфигурирани, съществува риск от отвличане на сесията. Атрибутите Secure, HttpOnly и SameSite ограничават достъпа до тях от зловредни скриптове и външни сайтове. Това е пряко свързано със защитата на вече удостоверен достъп и предотвратяване на злоупотреби.

HTTP защитни механизми – контрол върху поведението на браузъра
Съвременната уеб сигурност включва допълнителни инструкции към браузъра чрез HTTP security headers. Те са част от минималните изисквания за мрежова и информационна сигурност.

Тези механизми принуждават браузъра да използва HTTPS, ограничават източниците на изпълним код, предотвратяват вграждане на страницата в злонамерени рамки и ограничават изтичането на информация. Те представляват втори защитен слой след криптирането.

DNSSEC – защита на интернет идентичността
DNS е системата, която превежда домейна в IP адрес. Ако DNS записите бъдат подменени, потребителят може да бъде пренасочен към фалшив сайт, без да забележи.

DNSSEC добавя криптографска защита на DNS записите чрез цифров подпис. Това гарантира, че домейнът сочи към реалния сървър на институцията. Това е защита на самото име на общината в интернет пространството.

DMARC и DKIM – защита на електронната кореспонденция
Домейнът на общината е свързан не само с уебсайта, но и с електронната поща. Без защитни механизми е възможно изпращане на фалшиви имейли от името на институцията.

DMARC определя политика за обработване на невалидни съобщения. DKIM добавя цифров подпис към изходящите писма. Тези механизми защитават репутацията на домейна и доверието в комуникацията с гражданите.

Достъпността – равнопоставен достъп до административни услуги
Проверките, планирани от МЕУ през 2026 г., са насочени именно към достъпността. Тук фокусът е върху използваемостта:
– достатъчен контраст
– четимост
– логична структура
– alt текстове на изображения
– клавиатурна навигация
– достъпни документи
Достъпността гарантира, че сайтът може да бъде използван от хора със зрителни, двигателни или други затруднения. Това е въпрос на равнопоставеност и публична отговорност.

Декларациите – прозрачност и ангажимент
Всеки общински сайт следва да съдържа декларация за достъпност и декларация за поверителност. Първата описва степента на съответствие и механизма за обратна връзка. Втората информира гражданите за обработването на лични данни. Липсата или формалното публикуване без реално съдържание създава правен и репутационен риск.

Заключителен анализ
Проверките на МЕУ ще оценяват достъпността. Изискванията по НМИМИС обхващат сигурността. Това са два различни, но взаимодопълващи се аспекта.

Един сайт може да бъде достъпен, но уязвим. Друг може да бъде защитен, но недостъпен. Истинската цифрова устойчивост изисква съчетаване на институционална идентичност, криптографска защита, защита на домейна и електронната поща, правилна конфигурация на сървъра и равнопоставен достъп до съдържанието.

Общинският уебсайт вече не е просто информационна витрина. Той е част от публичната цифрова инфраструктура.

В разширената версия сме включили и конкретни инструменти за анализ на сайтовете – проверки на TLS, security headers, cookie флагове, DNS защита и тестове за достъпност.