Сайты ломают не хакеры-гении, а боты, которые круглосуточно перебирают слабые пароли и устаревшие версии. Собрали чек-лист из 12 шагов, который закрывает большинство сценариев взлома, — пройдитесь по нему и спите спокойнее.
Если коротко: защита сайта от взлома держится на нескольких базовых вещах — сильные пароли с двухфакторной аутентификацией, регулярные обновления движка и компонентов, свежие резервные копии вне сайта, HTTPS, фильтр запросов (WAF), минимум прав доступа и мониторинг. Сделайте этот набор — и закроете подавляющее большинство автоматических атак, на которые приходится почти весь реальный взлом малого и среднего бизнеса. Ниже — пошаговый чек-лист, по которому мы проверяем сайты клиентов из Хабаровска и со всей России.
Сразу развеем главный миф. Большинство владельцев думают: «мой сайт маленький, кому он нужен». А ботам всё равно на ваш размер. Они сканируют интернет пачками, ищут типовые слабые места и ломают всё, что плохо лежит. Сайт нужен им не как ваш бизнес, а как ресурс — рассылать спам, прятать вирусы, лить трафик на сомнительные страницы. И узнаёте вы об этом, когда Яндекс уже пометил сайт как опасный.
Почему вообще ломают сайты
Взлом почти всегда автоматический и безличный. Боты круглосуточно перебирают сайты в поиске двух вещей: устаревшей версии CMS или плагина с известной уязвимостью и слабого пароля в админку. Если есть хоть одно — сайт в зоне риска. Целенаправленно атакуют редко, и обычно — крупные ресурсы; малый бизнес попадает под раздачу массовых сканирований.
Обиднее всего то, что восстановление почти всегда дороже профилактики. Вычистить заражённый сайт, снять санкции поисковиков, вернуть доверие посетителей — это недели работы и потерянная выручка. А базовая защита, которая всё это предотвращает, по деньгам несопоставимо дешевле. Логика простая: лучше потратить немного сейчас, чем много потом.
Чек-лист защиты: 12 шагов
Это рабочий список, по которому можно сверить любой сайт независимо от платформы. Первые семь пунктов — фундамент, остальные усиливают защиту. Идите по порядку.
- Сильные уникальные пароли. Минимум 12 символов, без словарных слов, разные для админки, FTP, базы и хостинга. Один пароль на всё — это одна точка отказа.
- Двухфакторная аутентификация. Включите второй фактор для входа в админку — одноразовые коды из приложения. Даже украденный пароль без него бесполезен.
- Регулярные обновления. Ядро CMS, модули, плагины, тема. Каждая непоставленная заплатка — открытая дверь, про которую злоумышленники уже знают.
- Резервные копии вне сайта. Автоматические бэкапы по расписанию, в нескольких версиях, на отдельном сервере или в облаке. Без них любой взлом превращается в катастрофу.
- HTTPS и SSL-сертификат. Шифрование трафика обязательно. Без него пароли и данные форм могут перехватить, а браузер пометит сайт как небезопасный.
- Фильтр запросов (WAF). Сетевой экран, который отсекает типовые атаки — инъекции, XSS, перебор. В 1С-Битрикс это модуль «Проактивная защита», для других сайтов — Cloudflare или серверный WAF.
- Минимум прав доступа. Контент-менеджеру не нужны права администратора. Чем меньше людей с полным доступом, тем меньше точек компрометации.
- Правильные права на файлы. Никаких папок с правами 777. Корректные права на файлы и каталоги закрывают возможность загрузить и выполнить чужой код.
- Защита от перебора паролей. Ограничение числа попыток входа и временная блокировка по IP останавливают ботов, которые тупо подбирают пароль.
- Аудит сторонних компонентов. Брошенные и неподдерживаемые плагины — частая точка входа. Удаляйте всё, чем не пользуетесь.
- Скрытие и защита админки. Нестандартный адрес входа и, если возможно, ограничение доступа к админке по IP заметно сужают поле для атаки.
- Мониторинг и уведомления. Слежение за изменением файлов и подозрительной активностью, чтобы узнать о проблеме первым, а не от поисковика.
Что важнее всего: три приоритета
Если из всего списка выбрать главное — с чего начать прямо сегодня, — то это три вещи. Они дают максимальный эффект при минимальных усилиях.
- Обновления. Закрывают известные дыры, через которые идёт большинство массовых взломов. Запущенная версия — приглашение для ботов.
- Пароли и второй фактор. Останавливают подбор — самый частый способ попасть в админку.
- Бэкапы. Не предотвращают взлом, но гарантируют, что вы восстановитесь, даже если что-то прошло мимо защиты.
На проектах, которые приходят к нам на лечение, картина почти всегда одинаковая: версия движка двухлетней давности, пароль «по умолчанию» и ни одного бэкапа. Закрой мы любой из этих трёх пунктов заранее — взлома бы просто не случилось. Профилактика скучная, но она работает.
Роль хостинга и платформы
Безопасность начинается не на сайте, а под ним — на хостинге. Дешёвый перегруженный сервер, где сотни сайтов делят одно пространство без изоляции, опасен сам по себе: ломают соседа — рискуете и вы. Адекватный хостинг под вашу CMS, с актуальной версией PHP и изоляцией аккаунтов, — это часть защиты, а не отдельная статья расходов.
Платформа тоже имеет значение, но не так, как думают. Популярные CMS вроде 1С-Битрикс хорошо защищены и регулярно обновляются — уязвимым сайт делает не платформа, а её запущенное состояние. Самописные движки без поддержки опаснее: дыры в них никто не закрывает, потому что обновлений просто не существует. Выбирая платформу, выбираете и то, кто будет латать её бреши годами.
Человеческий фактор
Самая совершенная защита бессильна против записанного на стикере пароля или фишингового письма, по ссылке из которого перешёл сотрудник. По нашему опыту, заметная доля проблем приходит не через «дыры в коде», а через людей: общий пароль на всех, доступы уволившихся, которые никто не закрыл, установка плагина «с какого-то форума».
Поэтому защита — это ещё и дисциплина. Удаляйте доступы сразу при увольнении или завершении работы с подрядчиком. Не давайте полные права всем подряд «на всякий случай». Не ставьте компоненты из непроверенных источников. Эти правила ничего не стоят, но закрывают целый класс рисков, против которых техника бессильна.
Полезно раз в год проводить простую ревизию доступов: кто и зачем имеет вход в админку, хостинг и почту домена. Почти всегда обнаруживается пара забытых учёток — бывшего сотрудника, прошлого подрядчика, тестовый аккаунт «на пять минут», который живёт уже год. Каждая такая учётка — это лишняя дверь, о которой вы не помните, а злоумышленник о ней может узнать.
Как понять, что защита действительно работает
Чек-лист пройден — а дальше? Защита не разовое действие, а состояние, которое нужно поддерживать. Вот по каким признакам видно, что с безопасностью у вас порядок, а не «вроде что-то делали».
- Обновления ставятся регулярно, а не «когда сломалось» — есть ответственный и расписание.
- Свежий бэкап есть всегда, он лежит вне сайта и хотя бы раз в квартал проверяется на разворачивание.
- В админку нельзя зайти со стандартным логином и простым паролем — второй фактор включён.
- Сертификат SSL действует и не истекает незаметно, сайт открывается только по HTTPS.
- Есть кто-то, кто узнает о проблеме первым — по мониторингу, а не из письма от Яндекса.
Если по какому-то пункту ответ «не уверен» — это и есть ваша ближайшая точка роста. Безопасность складывается из таких мелочей, и слабым звеном оказывается ровно то, до чего не дошли руки.
Частые вопросы
Можно ли защитить сайт на 100%?
Нет, абсолютной защиты не существует ни у кого. Но между «защищён на базовом уровне» и «открыт всем» — пропасть. Базовый чек-лист закрывает почти все массовые автоматические атаки, под которые попадает малый и средний бизнес.
Что делать в первую очередь, если времени мало?
Три вещи: поставьте свежие обновления, смените слабые пароли и включите второй фактор, настройте бэкапы вне сайта. Это даёт максимальный эффект и закрывает самые частые векторы взлома.
Нужен ли отдельный антивирус или сервис защиты?
Для большинства сайтов хватает встроенных средств CMS (фильтр запросов, контроль активности) плюс адекватного хостинга. Внешние сервисы вроде Cloudflare или специализированный WAF оправданы для нагруженных и часто атакуемых проектов.
Как понять, что сайт пытаются взломать?
Признаки в журналах: множественные неудачные попытки входа, странные запросы к несуществующим адресам, всплески нагрузки. Если включён мониторинг и журнал вторжений, вы увидите это заранее и успеете среагировать.
Кто должен заниматься защитой — мы или подрядчик?
Базовую настройку (фильтр, пароли, права, бэкапы) делает подрядчик при запуске. Дальше нужна регулярность: обновления и проверки. Это либо ваш специалист, либо договор на техподдержку — иначе защита со временем устаревает.
Хотите понять, насколько ваш сайт устойчив к взлому прямо сейчас? Проведём аудит безопасности, пройдёмся по всему чек-листу и закроем найденные дыры, а при необходимости возьмём сайт на регулярное обслуживание — в Хабаровске, Владивостоке и по всей России. Звоните: 8 800 55-100-10. Подробнее — поддержка и безопасность или общий раздел услуги.
