Разработка сайтов
Чек-лист проверки сайта перед запуском
Запуск сайта — момент, когда мелкие недочёты внезапно становятся видны клиентам и поисковым системам. Чтобы не исправлять ошибки на ходу, перед публикацией стоит…
Почему взламывают даже небольшие сайты
Многие владельцы небольших сайтов уверены, что их ресурс никому не интересен: «Мы же не банк, что у нас красть?» Но большинство атак не направлены на конкретную компанию. Злоумышленники используют автоматические программы, которые сканируют интернет в поисках уязвимых сайтов — с устаревшей CMS, слабым паролем, дырявым плагином. Попался ваш сайт — значит, будет взломан.
Зачем это нужно взломщикам:
- рассылка спама с вашего сервера;
- размещение скрытых ссылок и страниц для продвижения чужих сайтов;
- перенаправление посетителей на мошеннические или вредоносные ресурсы;
- кража данных — контактов клиентов, заказов, учётных записей;
- майнинг и использование ресурсов сервера;
- вымогательство — шифрование файлов с требованием выкупа.
Последствия для бизнеса неприятные: поисковики помечают сайт как опасный, браузеры показывают предупреждение, хостинг может заблокировать аккаунт, позиции падают, клиенты уходят. На восстановление уходят время и деньги, а репутационный ущерб бывает заметнее финансового.
Обновления CMS, плагинов и серверного ПО
Устаревшее программное обеспечение — главная причина взломов. Когда в популярной CMS или плагине находят уязвимость, разработчики выпускают исправление. Но одновременно информация об уязвимости становится публичной, и злоумышленники начинают искать сайты, где обновление не установлено.
Что нужно обновлять:
- Ядро CMS — WordPress, 1С-Битрикс, другие системы.
- Плагины, модули и темы оформления. Именно в них чаще всего находят уязвимости, особенно в малоизвестных и заброшенных.
- Серверное ПО — версию PHP, базы данных, веб-сервера. Обычно этим занимается хостинг, но на собственном сервере — ваша зона ответственности.
Правила безопасного обновления:
- перед обновлением делайте резервную копию;
- по возможности проверяйте обновления на тестовой копии сайта;
- удаляйте неиспользуемые плагины и темы — даже отключённые, они могут быть уязвимы;
- не устанавливайте расширения из сомнительных источников и «взломанные» платные плагины — в них часто встроен вредоносный код.
Совет: если сайт сделан на самописном движке, уточните у разработчика, кто отвечает за обновления и исправление уязвимостей. Код без поддержки со временем становится уязвимым так же, как устаревшая CMS.
Пароли и доступы
Второе слабое место — доступы. Подбор паролей к админке, FTP и хостингу — одна из самых массовых атак, и она до сих пор работает, потому что многие используют простые пароли.
Базовые правила:
- Длинные уникальные пароли для каждой системы: админки сайта, панели хостинга, FTP, базы данных, почты. Не меньше 12–16 символов, лучше сгенерированные менеджером паролей.
- Двухфакторная аутентификация везде, где она доступна: в панели хостинга, регистраторе домена, админке CMS.
- Нестандартный логин администратора. Логины вроде admin или administrator злоумышленники пробуют первыми.
- Ограничение попыток входа. После нескольких неудачных попыток вход временно блокируется.
- Отдельные учётные записи для каждого сотрудника и подрядчика с минимально необходимыми правами. Контент-менеджеру не нужны права администратора.
- Отзыв доступов. Когда сотрудник уходит или подрядчик завершает работу, его учётная запись удаляется, а общие пароли меняются.
Особое внимание — доступам к домену. Если злоумышленник получит контроль над доменом, он сможет перенаправить его куда угодно. Домен должен быть зарегистрирован на компанию, а доступ к аккаунту регистратора — защищён двухфакторной аутентификацией и известен ответственному лицу.
Резервные копии
Даже при идеальной защите что-то может пойти не так: взлом, ошибка при обновлении, сбой сервера, случайное удаление. Резервная копия — страховка, которая позволяет быстро восстановить сайт.
Правила резервного копирования:
- Регулярность. Частота зависит от того, как часто меняется сайт. Интернет-магазину с ежедневными заказами нужны ежедневные копии базы, статичному сайту-визитке достаточно еженедельных.
- Полнота. Копировать нужно и файлы сайта, и базу данных.
- Хранение вне сервера. Копия, которая лежит на том же сервере, бесполезна, если сервер взломан или вышел из строя. Храните копии в отдельном облачном хранилище или на другом сервере.
- Несколько версий. Взлом могут обнаружить не сразу. Если хранится только последняя копия, она может уже содержать вредоносный код. Держите копии за несколько недель.
- Проверка восстановления. Время от времени пробуйте развернуть сайт из копии на тестовом сервере. Копия, которую не удаётся восстановить, — не копия.
Многие хостинги предлагают автоматическое резервное копирование. Это удобно, но не стоит полагаться только на него — имейте собственную копию под своим контролем.
Защита данных: HTTPS и формы
HTTPS и шифрование
SSL-сертификат и протокол HTTPS шифруют данные между браузером посетителя и сервером. Без этого информация из форм — имена, телефоны, пароли — передаётся открытым текстом и может быть перехвачена.
Сегодня HTTPS — обязательный минимум для любого сайта:
- браузеры помечают сайты без HTTPS как небезопасные;
- поисковые системы учитывают защищённое соединение;
- без HTTPS нельзя корректно принимать платежи и обрабатывать персональные данные.
Важно не просто установить сертификат, а настроить переадресацию всех страниц с HTTP на HTTPS и следить за сроком действия сертификата. Многие хостинги поддерживают автоматическое продление бесплатных сертификатов.
Формы и пользовательские данные
Формы на сайте — потенциальная точка входа для атак и источник спама.
Что важно сделать:
- Защита от спама. Невидимая капча или скрытые поля-ловушки отсекают ботов, не мешая людям.
- Проверка вводимых данных на сервере. Всё, что пользователь вводит в форму, должно проверяться и очищаться. Это защищает от внедрения вредоносного кода в базу данных и на страницы.
- Ограничение загрузки файлов. Если на сайте можно прикрепить файл, разрешайте только нужные форматы и проверяйте их. Загрузка исполняемого файла на сервер — классический способ взлома.
- Минимум хранимых данных. Не храните на сайте больше персональных данных, чем нужно. Заявки лучше сразу передавать в CRM, а не копить годами в базе сайта.
- Соблюдение законодательства о персональных данных. Политика конфиденциальности, согласие на обработку, защищённое хранение.
Хостинг и серверные настройки
Безопасность сайта во многом зависит от того, где он размещён. Надёжный хостинг берёт на себя часть защиты.
На что обратить внимание:
- изоляция аккаунтов — на виртуальном хостинге взлом соседнего сайта не должен затрагивать ваш;
- защита от DDoS-атак — особенно важна для интернет-магазинов и сайтов, которые зарабатывают онлайн;
- файрвол веб-приложений — фильтрует подозрительные запросы до того, как они дойдут до сайта;
- антивирусная проверка файлов;
- актуальные версии ПО на сервере;
- техническая поддержка, которая реально помогает в случае инцидента.
Ещё несколько настроек, которые стоит проверить:
- закройте доступ к служебным файлам и папкам — конфигурационным файлам, резервным копиям, системным журналам;
- отключите отображение содержимого папок в браузере;
- выставьте корректные права доступа к файлам: файлы и папки не должны быть доступны для записи всем подряд;
- ограничьте доступ к админке по IP-адресам, если команда работает из постоянных мест.
Мониторинг: как узнать о проблеме вовремя
Взлом часто происходит незаметно. Вредоносный код может месяцами показывать спам-ссылки только поисковым роботам или перенаправлять только мобильных посетителей. Владелец сайта ничего не замечает, а позиции тем временем падают.
Инструменты для своевременного обнаружения:
- Яндекс Вебмастер и Google Search Console. Оба сервиса уведомляют о заражении, вредоносном коде и подозрительных изменениях. Подключите уведомления на почту ответственного сотрудника.
- Мониторинг доступности. Сервисы, которые регулярно проверяют, открывается ли сайт, и сообщают о сбоях.
- Контроль изменений файлов. Плагины и скрипты, которые отслеживают изменения в файлах сайта и сообщают о неожиданных правках.
- Аналитика. Резкий рост отказов, необычные источники трафика, появление в поиске незнакомых страниц на вашем домене — повод проверить сайт.
- Логи сервера. Подозрительные запросы, массовые попытки входа в админку.
Что делать, если сайт взломали
Если взлом всё-таки произошёл, действуйте последовательно:
- Не паникуйте и не удаляйте всё подряд. Сначала зафиксируйте ситуацию — сохраните копию заражённого сайта для анализа.
- Смените все пароли — от админки, хостинга, FTP, базы данных, почты.
- Найдите и устраните причину. Просто восстановить сайт из копии недостаточно: если уязвимость осталась, взлом повторится.
- Очистите сайт от вредоносного кода или восстановите из чистой резервной копии, а затем обновите все компоненты.
- Проверьте, не появились ли лишние учётные записи администраторов, незнакомые файлы, задания планировщика.
- Сообщите поисковикам через Яндекс Вебмастер и Google Search Console, что проблема устранена, и запросите повторную проверку.
- Проанализируйте, что пошло не так, и закройте эту брешь в процессах.
Чек-лист базовой безопасности
| Мера | Как часто проверять |
|---|---|
| Обновления CMS, плагинов, тем | Регулярно, по мере выхода |
| Резервные копии вне сервера | Автоматически, с проверкой восстановления |
| Надёжные пароли и двухфакторная аутентификация | При настройке и смене сотрудников |
| Ревизия учётных записей | При каждой смене подрядчика или сотрудника |
| HTTPS и срок действия сертификата | Постоянно, с автопродлением |
| Уведомления Вебмастера и Search Console | Постоянно |
| Удаление неиспользуемых плагинов | При каждом аудите |
Мы в КомРА рекомендуем закрепить ответственность за безопасность сайта за конкретным человеком или подрядчиком. Когда за это «отвечают все», на практике не отвечает никто.
Итог
Безопасность сайта не требует сложных технологий — большинство взломов происходит из-за устаревшего ПО, слабых паролей и отсутствия резервных копий. Регулярно обновляйте CMS и плагины, используйте сложные пароли и двухфакторную аутентификацию, разграничивайте доступы и вовремя отзывайте их, храните резервные копии вне сервера и проверяйте, что из них можно восстановиться.
Добавьте к этому HTTPS, защиту форм, надёжный хостинг и мониторинг через сервисы для вебмастеров — и ваш сайт перестанет быть лёгкой добычей для автоматических атак. Профилактика всегда обходится дешевле, чем восстановление после взлома.