Защита сайта от взлома: полный план из 7 шагов

Как на самом деле взламывают сайты

Образ хакера, который часами подбирает хитрый способ проникновения именно в ваш проект, — редкость. В большинстве случаев работает конвейер: боты сканируют миллионы сайтов, определяют используемую CMS и версию плагинов, сверяют их с базами известных уязвимостей и автоматически запускают готовый эксплойт. Если ваш сайт «подошёл» под шаблон — он взломан за секунды, независимо от размера и тематики.

Поэтому фраза «кому мы нужны» не работает. Сайт нужен атакующим как ресурс: для рассылки спама, размещения фишинговых страниц, майнинга, продажи ссылок в скрытом виде и участия в ботнетах. Малый бизнес страдает чаще всего именно потому, что безопасностью никто не занимается системно.

Ниже — наиболее распространённые точки входа. Список перекликается с рейтингом OWASP Top 10, который описывает самые частые риски веб-приложений.

Обновления и пароли — фундамент безопасности

Первые два пункта из схемы выше закрываются без бюджета и специальных знаний. Каждое обновление CMS (WordPress, 1С-Битрикс, Joomla, Drupal, OpenCart и других), темы и плагина часто содержит исправления уязвимостей. Как только разработчик публикует патч, описание проблемы становится публичным, и боты начинают охоту на тех, кто не обновился. Включите автоматические обновления для безопасных релизов, а крупные — ставьте на тестовой копии и затем на боевом сайте.

Пароли — второй рубеж. Нужны длина от 12–16 символов, уникальность для каждого сервиса и хранение в менеджере паролей. Для админки, хостинга, регистратора домена и почты обязательно включайте двухфакторную аутентификацию. Даже если пароль утечёт, без второго фактора войти не получится.

Отдельно проверьте учётные записи: удалите «забытые» аккаунты бывших подрядчиков, не используйте логин admin и выдавайте сотрудникам только те права, которые нужны для работы.

Шифрование, фильтрация трафика и права доступа

Следующий уровень — техническая настройка окружения. HTTPS с корректным сертификатом (подойдёт и бесплатный Let's Encrypt, и коммерческий) нужен всем: он защищает передаваемые данные, а отсутствие шифрования помечается браузерами как небезопасное. Добавьте принудительный редирект с HTTP на HTTPS и заголовки безопасности: HSTS, Content-Security-Policy, X-Frame-Options.

Веб-фильтр приложений (WAF) отсекает типовые атаки — SQL-инъекции, XSS, подбор паролей — до того, как запрос дойдёт до сайта. Его предлагают многие хостинги и облачные сервисы защиты. Дополнительно ограничьте число попыток входа, закройте доступ к админке по IP или через VPN и отключите редактирование файлов из панели управления.

Не забывайте о правах на файлы и каталоги: типовая рекомендация — 755 для папок и 644 для файлов, а конфигурационные файлы с паролями не должны быть доступны по прямой ссылке.

Резервные копии — страховка на случай худшего

Идеальной защиты не существует, поэтому вторая половина стратегии — возможность быстро вернуться к рабочему состоянию. Резервная копия — это не просто архив, который иногда создаёт хостинг, а продуманный процесс: что копируется, как часто, где хранится и как проверяется.

Частая ошибка — хранить бэкапы на том же сервере, что и сайт. Если взломан сервер, злоумышленник удаляет или шифрует и копии. Поэтому используйте проверенное правило, которое показано ниже.

Мониторинг: чем раньше заметите, тем дешевле последствия

Многие взломы остаются незамеченными неделями: код тихо подменяет выдачу для поисковых роботов, добавляет скрытые ссылки или перенаправляет мобильных пользователей. Чтобы узнавать о проблемах оперативно, комбинируйте несколько источников сигналов.

Во-первых, подключите сайт к Яндекс Вебмастеру и Google Search Console: оба сервиса сообщают о найденных угрозах безопасности и вредоносном коде. Во-вторых, настройте мониторинг целостности файлов — он покажет, какие файлы изменились и когда. В-третьих, анализируйте журналы сервера и данные Яндекс Метрики или Google Analytics: всплески трафика из непонятных источников, резкий рост отказов и странные страницы в отчётах нередко выдают заражение.

Свод основных угроз и мер защиты удобно держать перед глазами в виде таблицы.

Какие ошибки сводят защиту на нет

Даже при хорошей технической базе уязвимыми оказываются проекты, где нарушаются элементарные правила гигиены. Чаще всего это не следствие незнания, а результат спешки: «поставим плагин, потом разберёмся», «пароль потом сменим», «обновим после запуска рекламной кампании».

Разберём типичные промахи, которые мы видим при аудитах, и способы их исправить.

Что делать, если сайт всё-таки взломали

Главное — не паниковать и действовать по порядку. Самая частая ошибка после взлома — просто удалить заметный вредоносный файл и считать вопрос закрытым. Если не найден способ проникновения, злоумышленник вернётся через оставленный бэкдор, иногда уже через несколько часов.

Поэтому план действий должен включать не только «лечение», но и устранение причины. Ориентируйтесь на последовательность, показанную ниже, и фиксируйте каждый шаг: это пригодится при обращении к хостеру и в поддержку поисковых систем.