10 правил безопасности сайта, которые закрывают 80% уязвимостей

Введение

Года три назад звонок. Клиент, голос дрожит: "Зайдите на мой сайт... там порно вылезло". Захожу. Интернет-магазин мебели, солидная компания, лет пятнадцать работают. На главной - казино, порнобаннеры, ссылки на всякую дрянь. Три дня висело, пока покупатели не начали звонить с вопросами про "развлечения".

Тридцать тысяч сайтов взламывают каждый день. Малый бизнес страдает чаще - у корпораций службы безопасности, а у предпринимателя сайт, менеджер и вечная нехватка времени.

"Кому нужен мой маленький сайт?" - слышу постоянно. А хакерам без разницы какой вы. Запустили программу, она сканирует миллионы сайтов. Нашла дыру - взломала. Автомат, круглосуточно.

По опыту знаю - больше всего клиенты боятся потерять базу, деньги, репутацию. И правильно. Только вот большинство взломов случается не из-за гениальности хакеров, а из-за элементарной халатности. Не закрыл дверь - удивляешься что обокрали.

Меня выводит, когда безопасность игнорируют до первого взлома. Восстановление - от 30 до 150 тысяч (если бэкапы есть). Нет бэкапов? Даже говорить не хочу сколько.

Вот десять правил. Закроют большую часть дыр. Без SQL-инъекций и прочей технической ереси. Плюс алгоритм на случай, если всё-таки случится.

Почему ваш сайт - лакомый кусок для хакеров

Представьте рыбака. Он же не высматривает каждую рыбку отдельно? Забросил сеть - вытащил всё что попалось. Хакеры так же. Программа-бот сканирует тысячи сайтов в час. Нашла устаревший WordPress - попытка взлома. Слабый пароль - вход. Дыра в плагине - готово.

Зачем взламывают? (многие удивляются) Не за деньгами чаще.

Спам-рассылки с вашего сервера - хостинг блокирует, письма не доходят, разбираешься месяц. Майнинг криптовалюты на ваших мощностях - сайт тормозит, счета приходят космические. Перепродажа доступов на черных рынках за пару долларов (там целая биржа работает).

Крадут базы. Контакты, покупки, предпочтения. Продают. Используют для фишинга. Клиенты потом думают: "Эта компания слила мои данные". Доверие хрупкая штука.

Деньги? Восстановление - от 30 до 150 тысяч. Нет бэкапов - умножайте на три. Плюс простой. Плюс клиенты - видели потери до 30%.

SEO рухнет. Google выкинет из индекса. Восстанавливали полгода. А если хакеры разместили что-то противозаконное... понимаете к чему.

Репутация. Клиент зашел на сайт мебельной компании, увидел порно с казино. Вернется?

Ваш сайт не "маленький" для взлома. Идеального размера - интересный и беззащитный. Если дыры не закрыть.

Правила 1-3: Фундамент защиты

Восемьдесят процентов взломов предотвращаются тремя простыми действиями. Не службой безопасности, не дорогим софтом - просто тремя элементарными вещами.

Правило первое: SSL-сертификат обязателен

Каждый раз вижу сайт без SSL в 2025-м... хочется спросить серьезно ли вы.

SSL шифрует данные между браузером и сервером. Пароль, данные карты, имя - всё в зашифрованном виде. Без SSL это открытый текст. Как кричать пароль на весь вагон метро.

Google с 2018 помечает сайты без SSL "небезопасными". Красным. Будут покупать? Плюс позиции в поиске страдают напрямую.

Как получить? Большинство хостингов дают бесплатные Let's Encrypt - два клика установка. Коммерческий для крупного магазина - от тысячи рублей в год. За безопасность клиентских данных смешные деньги.

Три момента: сертификаты имеют срок (забыли продлить - снова "небезопасный"), ставить на весь сайт а не только главную, настроить редирект с http на https.

Нет SSL - исправляйте сегодня. Вот услуга настройки SSL если нужна помощь.

Правило второе: обновления каждую неделю

Когда последний раз обновляли сайт? Не контент - систему. Движок, плагины, темы. Не помните?

Девяносто процентов взломов через устаревшее ПО. Находят уязвимость, выпускают обновление, хакеры массово сканируют кто не обновился. Находят много.

Что обновлять? Всё. CMS. Плагины все. Темы. PHP на сервере (к хостингу вопрос).

"А вдруг сломается?" - понимаю. Да, бывает. Плагины конфликтуют, дизайн плывет. Неприятно.

Но знаете что? Восстанавливали штук пятнадцать взломанных сайтов которые годами не обновлялись. Обходилось в десятки раз дороже мелкой поломки после обновления. Взлом - это не "что-то не работает". Это потеря контроля, данных, репутации.

Логика: перед обновлением делаем бэкап, обновляемся, проверяем. Сломалось - откатываем, разбираемся. Обновления не откладываем.

Или закажите поддержку - мы следим, обновляем, проверяем. Клиент не парится.

Главное - уведомления об обновлениях не игнорируйте. Это сигнал "дыра, закройте". Закрывается одной кнопкой.

Правило третье: пароли серьезно

Пароль "123456" как ключи в замке с запиской "скоро вернусь".

Каждый пятый сайт использует популярный пароль: "password", "qwerty", "admin", дата рождения. У хакеров списки миллионов таких. Перебирают за секунды.

Нормальный пароль: двенадцать+ символов. Заглавные, строчные, цифры, спецсимволы. Уникальный для каждого сервиса.

"Как запомнить?" - не нужно. Менеджеры паролей: LastPass, 1Password, Bitwarden. Генерируют сложные, хранят зашифрованно. Помните один мастер-пароль.

Я для себя решил: если пароль запоминается - он простой. Должен выглядеть "K7$mP9!xL2@nQ5v8". Вручную не введешь. Не нужно - менеджер вставит.

Критично - двухфакторная аутентификация (2FA). Мало пароля, нужен код из приложения на телефоне. Узнали пароль - без телефона не зайдут. Для админки обязательно.

Настроить легко. Google Authenticator или Authy. Сканируете QR-код из админки - готово. Да, плюс 30 секунд каждый вход. Но это против месяцев восстановления и тысяч убытков.

Меняйте регулярно. Раз в три-шесть месяцев. Особенно если давали подрядчикам, фрилансерам, бывшим сотрудникам доступ. Поработал человек ушел? Сразу все пароли меняем.

Параноидально? Видел случаи когда "надежный" спустя полгода после увольнения заходил на сайт бывшего работодателя. Не со зла даже - доступ остался. Лучше перебдеть.

Три правила - фундамент. Соблюдаете? Защищены лучше 80% сайтов. Дальше дополнительные слои.

Правила 4-6: Резервное копирование и мониторинг

Помню один проект. Клиент позвонил в пятницу вечером (всегда же в пятницу вечером). Говорит: "Сайт упал". Ну упал значит упал, бывает - поднимем. Смотрю - база данных вдребезги. Хостинг накрылся медным тазом, прихватив с собой все данные. "Бэкапы есть?" - "Ну... должны быть где-то...". Не было. Нигде.

Три года контента. Пять тысяч товаров с описаниями. Вся клиентская база. Улетело в цифровое небытие.

Восстанавливали по крупицам из Google кэша, из архива интернета, из кэша браузеров сотрудников (представьте себе). Восстановили процентов сорок. Остальное... ну вы поняли. Клиент месяц не мог спать нормально.

Правило четвертое: автоматические бэкапы всегда

Бэкапы это не паранойя. Страховка. И раз уж на то пошло - единственная реально работающая страховка в нашем деле.

Что копировать? База данных в первую очередь - там всё содержимое сайта, заказы, клиенты, настройки. Файлы сайта тоже (картинки, темы, плагины). Настройки сервера если есть доступ (но это обычно уже вопрос к хостингу).

Как часто? Интернет-магазин с ежедневными заказами - каждый день однозначно. Корпоративный сайт где контент меняется раз в неделю - можно раз в неделю. Перед любым обновлением - обязательно, даже если последний бэкап был вчера.

А вот тут многие прокалываются. Где хранить? НЕ на том же сервере где сайт. Серьезно. Если сервер ляжет (а он ляжет рано или поздно - вопрос только когда), ваши бэкапы лягут вместе с ним. И привет.

Облачные хранилища - Google Drive, Яндекс.Диск, Dropbox, неважно. Главное чтобы не там же где сайт. Идеально - несколько копий в разных местах. Есть такое правило 3-2-1: три копии данных, на двух типах носителей, одна из которых за пределами основной локации. Звучит сложно, но по факту просто - копия на сервере, копия в облаке, копия на внешнем диске у вас в офисе.

Частая ошибка которую вижу постоянно: "Настроили бэкапы год назад и забыли". А они работают вообще? Проверяли? Я видел случаи когда скрипт бэкапа падал с ошибкой каждый день в течение полугода, но никто не смотрел логи. А потом понадобилось восстановить данные... ну вы догадываетесь чем закончилось.

Раз в квартал минимум пробуйте восстановить бэкап на тестовом сервере. Просто чтобы убедиться что копия живая и работает. Пять минут времени - сэкономите месяцы нервов когда действительно понадобится.

Правило пятое: мониторинг вместо сюрпризов

Представьте ситуацию. Хакер три дня ковыряется в вашем сайте, пробует разные пароли, ищет уязвимости, методично прощупывает защиту. А вы в это время спокойно пьете кофе и даже не знаете что происходит. Звучит не очень, да?

Мониторинг как раз про то чтобы знать. Что отслеживать? Попытки входа в админку особенно неудачные - если кто-то пытается подобрать пароль, вы должны это видеть. Изменения файлов - если какой-то файл изменился сам собой, это очень тревожный звоночек. Подозрительный трафик - резкий скачок посещаемости с одного IP или из одной страны. Новые пользователи появились непонятно откуда.

Инструменты? Для WordPress есть Wordfence - очень достойный плагин безопасности. Для Битрикса Pro:scan неплохо справляется. Настраиваете уведомления на email или телефон (телефон лучше - email можете не проверить день-другой). И спите спокойнее.

Логи сервера тоже штука полезная если умеете в них смотреть. А если не умеете - найдите администратора который умеет. Серьезно это базовый навык для работы с сайтами.

Правило шестое: регулярный аудит как у зубного

К зубному ходите раз в полгода на профилактику? Вот и с сайтом так же. Раз в квартал садитесь (или просите кого-то кто разбирается) и проверяете основные моменты.

Список установленных плагинов прошлись глазами. Этот используется? А этот? А вот этот зачем вообще? Удалите неиспользуемые. Каждый плагин это потенциальная дыра в безопасности, зачем держать лишнее.

Список пользователей с доступом в админку. Этот человек еще работает в компании? А этот фрилансер закончил проект полгода назад, доступ зачем ему? Удаляем всех кто не должен иметь доступ. Прямо сейчас, не откладывая.

Пароли проверили когда меняли? Если больше полугода назад - пора менять. Да знаю неудобно, но безопасность всегда неудобна. Удобство это когда пароль "123456" и все счастливы (до первого взлома).

Бэкапы проверили работают? Попробовали восстановить? Да уже говорили про это, но повторю - проверяйте регулярно.

Внешний аудит безопасности заказывайте в трех случаях: после взлома (обязательно чтобы понять как пролезли и что еще исправить), перед большим запуском (чтобы не позориться на всю аудиторию), раз в год просто для профилактики.

Лет десять назад я тоже думал что бэкапы лишняя морока. Пока клиент не потерял всю базу из-за сбоя хостинга. После того случая у каждого нашего клиента техническая диагностика и мониторинг настроены по умолчанию. Дешевле предотвратить чем восстанавливать - избитая фраза, но работает.

Правила 7-8: Контроль доступа и защита от спама

Знаете что меня реально выводит? Когда захожу на сайт клиента посмотреть что-то, а там в админке двадцать три пользователя. Спрашиваю кто все эти люди. Начинаем разбираться. Этот - бывший менеджер, уволился два года назад. Этот - фрилансер делал что-то год назад. Этот - вообще непонятно кто, наверное знакомый кого-то помогал когда-то.

И у всех полный доступ. Все могут всё. Удалить базу данных? Пожалуйста. Изменить платежные реквизиты? Не вопрос. Слить клиентскую базу конкурентам? Элементарно.

Правило седьмое: доступы строго по необходимости

Принцип простой до безобразия (но почему-то мало кто его соблюдает): у каждого человека должны быть только те права которые нужны для его работы. И ни строчкой больше.

Админский доступ со всеми правами - только владельцу бизнеса. Всё. Менеджерам которые добавляют товары нужен доступ к каталогу, не нужен доступ к настройкам сайта. Контент-менеджеру нужен редактор статей, не нужен доступ к платежным системам.

Временные доступы подрядчикам (фрилансерам, программистам, дизайнерам) даете строго на время работы. Закончили работу - удаляем доступ в тот же день. Не через неделю когда вспомним, не когда "руки дойдут". В тот же день.

Технические меры которые помогут. Измените стандартный URL админки - вместо /admin или /wp-admin сделайте что-то свое типа /upravlenie847 (только не забудьте что именно). Ограничьте вход по IP если работаете из офиса с постоянным IP - только с этого IP можно зайти в админку, с других нельзя. Логируйте все действия администраторов чтобы видеть кто что менял. Капчу на форму входа поставьте чтобы боты не долбились пытаясь подобрать пароль.

Работа с подрядчиками отдельная песня. Отдельный аккаунт для каждого человека - не один общий логин "programmer" который знают все программисты кто когда-либо работал с вами. Отдельный для каждого чтобы видеть в логах кто что делал. Закончил работу человек - удаляем его аккаунт сразу. И контролируйте что они делают через логи хотя бы иногда.

Пароль от админки на стикере на мониторе - это классика жанра кстати. Не думал что это правда бывает пока не увидел своими глазами. Дважды. В разных компаниях.

Правило восьмое: спам надоел всем

Спам-боты забивают формы обратной связи мусором. Приходит по двести "заявок" в день и все одно и то же: ставки на спорт, порно, казино, чудо-таблетки. Менеджеры перестают смотреть. А там между спамом затерялась реальная заявка от клиента на два миллиона рублей. И потерялась потому что менеджер уже выгорел от этого спама.

Решения есть. Google reCAPTCHA v3 - штука отличная, невидимая для пользователей (они даже не замечают что она работает), но ботов отсекает хорошо. Скрытые поля в форме которые боты заполняют автоматически а люди вообще не видят (техника называется honeypot - медовая ловушка). Проверка временных интервалов - бот заполнит форму за полсекунды, человек минимум секунд десять-пятнадцать потратит. Ограничение количества отправок с одного IP - не больше трех заявок в час с одного адреса.

Комментарии на сайте если разрешаете. Модерация перед публикацией (да это работа, но иначе утонете в спаме). Автоматические фильтры спама подключите. Обязательная регистрация для комментирования работает но это порог входа повышает - многие не будут регистрироваться ради одного комментария.

Тут важен баланс. Защита не должна бесить реальных пользователей. Видел кейсы когда капча такая мудреная что люди просто закрывали сайт не оставив заявку. Выберите букет из размытой картинки. Найдите все автобусы. Сколько будет семью восемь. Кликните на квадраты с пешеходными переходами... человек уже забыл зачем вообще заявку оставлял.

Если нужны готовые решения где базовая защита уже настроена из коробки - у нас есть каталог сайтов для бизнеса. SSL, защита форм, нормальные пароли - всё это уже внутри, не нужно настраивать с нуля.

Правила 9-10: Безопасность платежей и план действий

Деньги клиентов - это вообще отдельная тема. Тут ошибок быть не должно. Вообще. Никаких.

Правило девятое: данные карт не трогаем руками

КРИТИЧЕСКИ ВАЖНО (не кричу, просто акцент). Хранение данных банковских карт на сайте требует сертификации PCI DSS. Это сложная, дорогая, муторная процедура. И вам она не нужна. Серьезно.

Правильный подход работает так. Используете готовые платежные шлюзы - ЮKassa, CloudPayments, Сбербанк, неважно. Они уже сертифицированы, у них всё настроено, они знают как работать с картами правильно. Все транзакции идут через защищенное соединение (SSL помните да?). Данные карты вводятся на странице платежной системы, не на вашем сайте - вы эти данные вообще не видите и не храните.

Проверка безопасности простая. Клиент вводит данные карты на странице платежной системы (не вашего сайта - если у вас, это уже плохо). В URL платежной страницы должен быть https обязательно. Провайдер должен иметь лицензию ЦБ РФ (можно проверить на сайте Центробанка).

Ответственность понимаете какая? При утечке данных карт штрафы до пятисот тысяч рублей. Плюс репутационный ущерб после которого бизнес можно закрывать. Клиенты не простят что вы слили их карточные данные. Не простят и уйдут. Все.

Подключение платежной системы лучше доверьте тем кто это делал сотни раз. Тут экономить категорически не стоит.

Правило десятое: алгоритм на случай катастрофы

ЕСЛИ СЛУЧИЛСЯ ВЗЛОМ (не дай бог конечно, но вдруг) - НЕ ПАНИКОВАТЬ.

Понимаю это стрессовая ситуация. Сердце в пятки, руки трясутся, в голове туман. Но главное сейчас действовать последовательно, а не метаться как курица без головы.

Шаг первый занимает минут пять максимум. Немедленная изоляация взломанного участка. Заходите в панель хостинга, закрываете доступ к сайту полностью (да, сайт упадет, но это меньшее зло). Меняете ВСЕ пароли - FTP, база данных, админка, хостинг, почта. Все. Отключаете неиспользуемые модули и плагины.

Шаг второй это оценка ущерба, займет от получаса до пары часов. Смотрите какие данные могли украсть или испортить. Ищете точку входа хакера через логи сервера (если умеете читать, если нет - зовите того кто умеет). Фиксируете все изменения файлов.

Шаг третий - восстановление. Тут время зависит от того есть ли бэкапы и какие они. Поднимаете сайт из последней чистой копии (если она есть - если нет, сочувствую, будет долго). Обновляете все компоненты до самых свежих версий. Закрываете ту уязвимость через которую хакер пролез.

Шаг четвертый в течение дня сделать нужно. Информирование всех кого это касается. Если скомпрометированы данные клиентов - обязаны их уведомить по закону. Подать заявление в полицию при краже данных (они вряд ли что-то найдут, но для страховки нужно). Проинформировать банк если дело коснулось платежных данных.

Шаг пятый это уже постоянная работа после инцидента. Провести полный аудит безопасности. Внедрить дополнительные меры защиты которых не хватало. Настроить усиленный мониторинг чтобы в следующий раз заметить атаку раньше.

Когда звонить специалистам не думая? Если бэкапов нет вообще (тут уже только молиться). Если взлом затронул платежные данные клиентов (тут счет на часы идет). Если не можете определить откуда хакер залез (будут ломиться снова через ту же дыру). Если сайт взламывают повторно (значит что-то пропустили).

Я видел десятки взломанных сайтов за годы работы. У тех кто действовал по четкому плану восстановление занимало несколько часов максимум. У тех кто паниковал и метался - недели. С потерей клиентов, денег, нервов.

У нас есть услуга экстренного восстановления, работаем круглосуточно. Потому что взломы не спрашивают удобно вам сейчас или нет.

Безопасность - инвестиция а не расход

Подытожу всё что выше рассказал.

Безопасность это не разовая настройка по принципу "сделали и забыли". Это система. Регулярная работа. Контроль. Внимание к деталям.

Экономика вопроса считается элементарно. Базовая защита - SSL, нормальные пароли, автоматические бэкапы, мониторинг - обходится тысяч в пять-десять один раз на настройку. Плюс две-три тысячи в месяц если заказываете техническую поддержку (что разумно). Восстановление после взлома - от тридцати до ста пятидесяти тысяч рублей. Плюс потеря клиентов которых не посчитаешь в деньгах. Плюс испорченная репутация. Считайте сами что выгоднее.

Семьдесят процентов защиты (я не с потолка цифру взял, это оценочно из практики) - это простые действия доступные любому владельцу бизнеса без технического образования. Поставить SSL сертификат. Придумать нормальные пароли и записать их в менеджер паролей. Включить автоматические обновления. Настроить бэкапы. Не нужно быть программистом чтобы это сделать.

Да, страх взлома естественен. Но знаете что? Игнорирование проблемы не делает её менее реальной. Только добавляет вероятность что она случится.

Начните с первых трех правил прямо сегодня. SSL если нет, пароли если слабые, обновления если давно не делали. На следующей неделе добавьте бэкапы и мониторинг. Через месяц внедрите контроль доступов и защиту от спама. Постепенно но системно - так и должно работать.

Долго думал как объяснить важность безопасности без запугивания страшилками про хакеров. И понял простую вещь: это как страховка. Надеешься что не понадобится, но спишь гораздо спокойнее зная что она есть. А если вдруг понадобится - она спасет гораздо больше денег чем на неё потратил.

Если что-то в статье показалось непонятным или сложным - это нормально. Безопасность тема не самая простая честно. Пишите, разберемся вместе, объясню подробнее. Если нужна помощь с настройкой защиты - вот наши комплексные услуги для сайта, мы всё это делаем регулярно. Выбираете готовое решение и хотите чтобы безопасность была уже из коробки? Готовые интернет-магазины у нас идут с настроенной базовой защитой.

Главное помните одну вещь. Ваш сайт это актив вашего бизнеса. Он стоит денег. Он приносит клиентов. Он формирует репутацию. Защищайте его так же серьезно как защищаете свой офис, склад или расчетный счет в банке.

Потому что он этого стоит.