Как защитить сайт от взлома: чек-лист из 12 пунктов

Взлом сайта — не сюжет про хакеров из фильма, а рутинная автоматика: боты ежедневно прощупывают миллионы адресов в поиске типовых дыр. Им не важно, что ваш сайт «маленький и ничего не взломаешь» — взломанный ресурс становится площадкой для рассылок, страниц-доромов в выдаче и заражения посетителей. Для бизнеса это блокировка рекламных кампаний, пометка «сайт может быть опасен» в поиске и недели восстановления.

Чем опасен взлом сайта для бизнеса?

Цена взлома складывается из прямых и косвенных потерь. Прямые: восстановление сайта, чистка базы, платный аудит после инцидента. Косвенные дороже: поисковик помечает заражённые страницы предупреждением — трафик падает за дни; реклама останавливается модерацией; клиентские данные из форм могут утечь к злоумышленникам; репутационный удар по бренду, у которого «взломали даже сайт». Средний срок восстановления без бэкапов — недели, с бэкапами — часы. Разница между этими сценариями и есть ценность элементарной гигиены из чек-листа ниже.

Типовой сценарий инцидента выглядит буднично. Бот находит у сайта устаревший модуль галереи с известной уязвимостью, заливает скрипт и молча живёт месяцами: сайт работает, владелец ничего не подозревает, а в поиске плодятся чужие страницы, и с сервера уходят спам-рассылки. Обнаружение приходит со стороны — от модератора рекламы, из панели вебмастера с пометкой о заражении или от клиента с вопросом, почему сайт открывает чужой магазин.

Как взламывают сайты чаще всего?

Понимание типовых векторов упрощает защиту: подавляющее большинство инцидентов укладывается в пять сценариев, и четыре из них закрываются без программиста.

• Устаревшие системы. Снятое с поддержки ядро, плагины и темы с известными уязвимостями — боты проверяют их автоматически.
• Слабые и украденные пароли. Простые пароли, один пароль на всё, пароль из письма десятилетней давности.
• Дыры в формах и загрузках. Форма без защиты позволяет заливать скрипты вместо сообщений.
• Устаревшие библиотеки сайта. Старые версии скриптов с публично известными уязвимостями.
• Компрометация окружения. Заражённый компьютер сотрудника с сохранёнными доступами, чужие плагины из непроверенных источников.

Чем опасны бесплатные модули из непроверенных источников?

«Бесплатный аналог платного модуля» — один из самых доходных векторов атаки: в скачанном с левой площадки расширении лежит бэкдор — дверь для злоумышленника, которую не видит ни антивирус, ни владелец. Заражённый модуль ставится на десятки сайтов одним движением, и их владельцы сами открывают дверь изнутри. Правило простое: расширения — только из официальных источников, с историей обновлений и живыми отзывами; перед установкой чужого кода стоит потратить десять минут на проверку, а не недели на чистку сайта после.

Какие двенадцать пунктов закрывают основные риски?

Чек-лист построен по принципу «от дешёвого к дорогому»: первые пункты делаются за час и закрывают большую часть рисков, последние требуют специалиста. Пройдите список со своим сайтом — невыключенные пункты и есть ваш план работ.

1. Обновляйте систему и расширения. Автообновления или ежемесячный регламент: устаревшая платформа — дверь без замка.
2. Снимайте бэкапы по расписанию. Копии файлов и базы минимум раз в неделю, храните отдельно от хостинга.
3. Длинные уникальные пароли. Минимум 12 символов, разные для админки, хостинга и почты; менеджер паролей решает вопрос запоминания.
4. Двухфакторный вход в админку. Код на телефон — второй замок, который открывает взломанный пароль.
5. SSL-сертификат на весь сайт. HTTPS обязателен и для доверия посетителей, и для защиты форм.
6. Ограничьте попытки входа. Защита от перебора паролей: блокировка после пяти неверных попыток.
7. Уберите лишних пользователей. Аккаунты уволенных и «временные» доступы — закройте, права — по минимуму на роль.
8. Формы под капчей. Спам-боты и авто-инъекции отсекаются стандартной защитой.
9. Обновляйте компьютер администратора. Заражённый ноутбук с сохранёнными паролями обнуляет всю защиту сайта.
10. Плагины и темы — из официальных источников. «Бесплатный аналог премиум-модуля» — частая переносчик вирусов.
11. Мониторинг изменений. Уведомления о новых файлах и правках в коде — взлом обнаруживается днями, а не месяцами.
12. План реакции. Где бэкапы, кто чинит, как отключить рекламу — написанный план экономит дни при инциденте.

Как часто обновлять CMS и расширения сайта?

Рабочий ритм — ежемесячный: раз в месяц обновляется ядро, модули и темы, после обновления быстро проверяются ключевые страницы. Критичные обновления безопасности ставятся вне графика, в день выпуска. Отдельная дисциплина — версионность: перед крупным обновлением снимается бэкап, после — просмотр сайта. Если сайт никем не сопровождается и последний раз обновлялся год назад, начните с аудита состояния: это услуга технического анализа сайта от 12 000 рублей за два-четыре дня.

Как связаны безопасность, скорость и обновления?

Три этих заботы — одна монета с разных сторон. Устаревшая система одновременно медленнее (старый код тяжелей) и уязвимее (известные дыры не закрыты): обновление ядра и модулей закрывает и то и другое за один ход. Заражение, в свою очередь, бьёт по скорости — скрытые скрипты и чужие страницы грузят сайт и сервер. Поэтому регулярное обновление часто возвращает ресурсу скорость без отдельного проекта; если же тормоза пережили обновления, виновата архитектура — и тут работает отдельная услуга ускорения сайта от 18 000 рублей.

Зачем резервные копии и где их хранить?

Бэкап — единственная защита, которая работает после взлома, поэтому к копиям два требования: регулярность и отдельное хранение. Копия на том же хостинге помогает при ошибке в коде, но бесполезна, когда скомпрометирован сам аккаунт: храните минимум одну копию вне хостинга. Частота — от еженедельной для визитки до ежедневной для магазина и CRM с живыми заказами. Проверяйте восстановимость: копия, которую ни разу не разворачивали, при инциденте часто оказывается битой.

Как проверить сайт прямо сейчас: три самостоятельные проверки?

Часть диагностики доступна владельцу без специалиста и занимает полчаса. Проверка первая — панели вебмастеров: разделы безопасности Яндекс Вебмастера и консоли Google показывают найденные угрозы и заражённые страницы. Проверка вторая — поиск чужого контента: запрос вида «site:ваш-домен» с подозрительными словами (казино, фармакология) покажет чужие страницы, если они есть. Проверка третья — список пользователей и файлов: незнакомые администраторы в панели управления и файлы с датами, которых не было работ, — повод для срочного разбора.

Что сделать прямо сегодня: экспресс-защита за один вечер?

Если времени на проект безопасности нет, эти три шага занимают час и закрывают самые ходовые сценарии взлома.

1. Пароли. Смените пароль администратора на длинный и уникальный, включите двухфакторный вход, где платформа умеет.
2. Пользователи. Удалите неактуальные аккаунты и лишние права — список admins из десяти человек при команде из трёх не бывает здоровым.
3. Копия. Снимите полный бэкап и скачайте его с хостинга на свой диск — точка возврата появится уже сегодня.

Через неделю после экспресс-набора стоит вернуться к полному чек-листу и закрыть пункты про капчу, ограничение попыток входа и мониторинг — они требуют минут двадцати и обычно доступны из панели хостинга без программиста. Список из двенадцати пунктов рассчитан ровно на такой путь: час сегодня, вечер через неделю, остальное — по мере сил.

Сколько стоит поддержка безопасности сайта?

Защиту можно держать своими руками или передать специалистам — выбор зависит от наличия времени, а не бюджета: расценки умеренные. Разовая настройка окружения — организация и настройка хостинга от 3 000 рублей. Регулярное администрирование — от 1 000 рублей в месяц с одним-пятью визитами. Комплексный вариант — техническая поддержка от 15 000 рублей в месяц: обновления, бэкапы, мониторинг и доработки в одном тарифе; состав работ мы разбирали в статье про что входит в поддержку сайта.

Цена поддержки сопоставима с потерями от одного инцидента: неделя простоя сайта с работающей рекламой стоит больше, чем год администрирования. Для сайтов без поддержки хотя бы минимальный набор — администрирование хостинга от 1 000 рублей в месяц — покрывает обновления и мониторинг окружения; остальная гигиена из чек-листа ведётся руками владельца по регламенту.

LIKE-WEB сопровождает сайты с 2003 года — более 380 проектов, включая восстановление взломанных ресурсов и перевод их на регламентную защиту. Не ждите инцидента: пришлите адрес сайта в форме ниже — за один рабочий день вернёмся с оценкой рисков и планом закрытия по цене от скромной до сопоставимой с одной потерянной сделкой.

Читайте также