Как защитить сайт от взлома: базовая безопасность для малого бизнеса

Чтобы защитить сайт от взлома, малому бизнесу достаточно шести базовых мер: вовремя обновлять CMS и плагины, использовать длинные уникальные пароли с двухфакторной защитой, хранить резервные копии отдельно от сайта, работать по https, ограничить вход в админку и включить сетевой экран. Большинство взломов — массовые и автоматические: боты ищут не вашу компанию, а любую известную дыру. Ниже — как обычно взламывают сайты, что настроить в первую очередь, как понять, что сайт заражён, и что делать, если это уже случилось.

Зачем взламывают маленькие сайты

«Кому нужен мой сайт-визитка» — самое опасное заблуждение про безопасность. Большинство взломов не нацелены на конкретную компанию: боты сканируют интернет подряд и ломают всё, где нашли дыру. Цель — не ваши данные, а ресурсы сервера и репутация домена. Маленький сайт защищён ровно настолько, насколько вы об этом позаботились.

Что делают со взломанным сайтом:

• рассылают спам с вашего сервера и от имени вашего домена;
• размещают чужие страницы и ссылки — рекламу казино, поддельные магазины;
• перенаправляют посетителей, чаще всего мобильных, на мошеннические сайты;
• ставят фишинговые страницы — поддельные формы входа в банк или почту;
• используют сервер для майнинга и атак на другие сайты;
• забирают базу клиентов и заявок.

Чем взлом грозит бизнесу

Взломанный сайт бьёт по бизнесу сразу с нескольких сторон:

• поисковики помечают сайт как опасный, и трафик обваливается;
• браузеры показывают посетителям красный экран с предупреждением;
• хостинг может заблокировать сайт, пока вредоносный код не удалён;
• письма с вашего домена начинают попадать в спам;
• через сайт может утечь база клиентов и заявки;
• восстановление и чистка обходятся дороже, чем профилактика.

Утечка — отдельный риск: за сохранность персональных данных клиентов отвечает владелец сайта, и закон требует сообщать о таких инцидентах в Роскомнадзор. Конкретные сроки и порядок сверяйте с актуальной редакцией закона или с юристом; общие требования мы разбирали в статье про персональные данные на сайте.

Как обычно взламывают сайты

Как защитить сайт от взлома: базовые меры

Этот набор закрывает большинство рисков и почти не требует денег — только внимания и порядка.

Обновления

Держите CMS, тему и плагины актуальными: большинство дыр закрывают именно обновления. Между публикацией уязвимости и массовыми атаками на неё проходит немного времени, поэтому откладывать обновления на месяцы опасно. Перед обновлением делайте резервную копию, а всё, чем не пользуетесь, удаляйте — отключённый плагин с уязвимостью остаётся уязвимостью.

Пароли и двухфакторная защита

Длинные уникальные пароли и двухфакторная аутентификация (2FA) — второй шаг при входе, обычно код из приложения. Это касается не только админки, но и панели хостинга, регистратора домена, почты и FTP. Сгенерировать стойкий пароль можно нашим генератором паролей, а хранить — в менеджере паролей, а не в таблице или мессенджере.

У каждого, кто работает с сайтом, должна быть своя учётная запись с минимально нужными правами. Подрядчик закончил работу или сотрудник уволился — доступ закрывается в тот же день. Полный список доступов, которые должны быть у владельца, мы приводили в статье кому принадлежит ваш сайт.

Резервные копии

Регулярные копии, которые хранятся отдельно от сайта и реально восстанавливаются. Бэкап не предотвращает взлом, но превращает катастрофу в неприятность на пару часов. Как часто делать копии и где их держать — в материале про резервное копирование сайта.

Бэкап — это не «настроил и забыл». Раз в пару месяцев проверяйте, что копию реально можно развернуть. Нерабочий бэкап обнаруживается всегда в самый неподходящий момент.

SSL и https

Шифрование трафика защищает данные форм — пароли, телефоны, адреса — от перехвата по пути между посетителем и сайтом и нужно для доверия браузеров и поисковиков. Какой сертификат подойдёт вашему сайту, мы разбирали в статье бесплатный или платный SSL.

Ограничение доступа и сетевой экран

WAF — сетевой экран для сайта — отсекает типовые атаки и переборы паролей до того, как запросы дойдут до сайта. Он бывает в виде плагина для CMS, услуги хостинга или внешнего сервиса. Вход в админку дополнительно закрывают списком разрешённых IP-адресов или вторым паролем на уровне сервера и ограничивают число попыток входа. Стандартный логин admin лучше заменить: его перебирают первым.

Особенности популярных CMS

• WordPress. Основная зона риска — плагины: ставьте только нужные, из официального каталога, и удаляйте неиспользуемые.
• 1С-Битрикс. Важно вовремя ставить обновления — для этого нужна действующая лицензия — и не оставлять стандартные доступы.
• Конструкторы. Платформа сама обновляет и защищает движок. Ваша зона ответственности — пароль, двухфакторная защита и список тех, у кого есть доступ к аккаунту.
• Сайты на заказ. Обновлять нужно фреймворк и библиотеки, на которых написан сайт. Само это не происходит — нужна договорённость с разработчиком о регулярной поддержке.

Любой CMS противопоказаны «нуленые» темы и модули — взломанные версии платных расширений. В них часто зашит вредоносный код, и экономия на лицензии оборачивается заражением.

Что зависит от хостинга, а что от вас

На виртуальном хостинге провайдер отвечает за сервер: обновляет серверные программы, изолирует аккаунты клиентов друг от друга, делает резервные копии, часто проверяет файлы антивирусом. За сам сайт — CMS, плагины, пароли, права пользователей — отвечаете вы. Хороший хостинг снижает риски, но не закрывает дыру в устаревшем плагине.

На собственном сервере ответственность шире: настройка входа, обновления системы и сетевой экран тоже на вас. С чего начать, описано в статье первые настройки безопасности VPS. И отдельная тема — атаки, которые не взламывают сайт, а заваливают его запросами, чтобы он перестал открываться. Как их распознать и чем защищаться, читайте в материале про DDoS-атаки на сайт малого бизнеса.

Как понять, что сайт взломали

• на сайте появились чужая реклама, ссылки или страницы, которых вы не создавали;
• браузер или поисковик предупреждает, что сайт опасен;
• посетителей с телефонов перебрасывает на посторонние сайты, а с компьютера всё выглядит нормально;
• трафик резко упал без видимой причины;
• хостинг прислал уведомление о вредоносных файлах или рассылке спама;
• в админке появились незнакомые пользователи, а на сервере — незнакомые файлы с недавней датой изменения;
• в Яндекс Вебмастере или Google Search Console пришло уведомление о проблемах с безопасностью.

Коварство в том, что заражение часто скрыто от владельца: вредоносный код показывает лишнее только поисковым роботам или только посетителям из поиска. Поэтому раз в неделю стоит заглядывать в панели вебмастеров — они видят сайт глазами робота.

Что делать, если сайт уже взломали

1. Снимите сайт с публикации или закройте доступ, чтобы не заражать посетителей.
2. Сохраните копию заражённого сайта и журналы сервера: по ним можно понять, как именно проникли.
3. Смените все пароли: админка, FTP и SSH, база данных, панель хостинга, почта.
4. Восстановите чистую копию из бэкапа до даты заражения.
5. Обновите CMS и плагины, удалите лишнее. Если не закрыть дыру, сайт взломают повторно тем же способом.
6. Проверьте сайт на вредоносный код антивирусом хостинга, удалите незнакомых администраторов и посторонние файлы.
7. В Яндекс Вебмастере и Google Search Console в разделе о безопасности сообщите, что проблема устранена, и запросите перепроверку.

Если чистой копии нет, сайт придётся чистить вручную: сравнивать файлы с оригинальным дистрибутивом CMS, искать посторонний код в шаблонах и базе. Это работа для специалиста — пропущенная закладка возвращает заражение через несколько дней.

Частые ошибки

• Считают, что SSL защищает от взлома. Сертификат шифрует передачу данных, но не закрывает уязвимости самого сайта.
• Удаляют вирус, не закрыв дыру. Через неделю сайт заражён снова.
• Хранят бэкапы только на том же сервере. Взломщик получает доступ и к ним, а при сбое сервера пропадает всё сразу.
• Используют один пароль везде. Утечка с любого стороннего сервиса открывает и сайт, и почту, и хостинг.
• Не закрывают доступы бывшим подрядчикам и сотрудникам.
• Держат на хостинге забытые сайты и тестовые копии. Их никто не обновляет, и через них заражают основной сайт.
• Отключают обновления, «чтобы ничего не сломалось». Сломается всё равно — только не от обновления, а от взлома.

Чек-лист базовой безопасности сайта

• CMS, тема и плагины обновлены, неиспользуемые удалены.
• Пароли длинные и уникальные, включена 2FA в админке, на хостинге и у регистратора домена.
• У каждого пользователя своя учётная запись, лишние доступы закрыты.
• Бэкапы делаются автоматически, хранятся отдельно от сайта и проверены восстановлением.
• Подключён SSL, сайт работает по https.
• Вход в админку ограничен, число попыток входа лимитировано.
• На хостинге нет забытых сайтов, тестовых копий и архивов в открытом доступе.
• Сайт добавлен в Яндекс Вебмастер и Google Search Console, уведомления приходят на рабочую почту.

Коротко

Сайты малого бизнеса взламывают не прицельно, а потоком — через устаревшие плагины и слабые пароли. Обновления, уникальные пароли с двухфакторной защитой, проверенные бэкапы, https и ограниченный вход в админку закрывают большинство таких атак. Базовые меры бесплатны и требуют только времени; платными бывают WAF и расширенный мониторинг, но малому бизнесу базы обычно достаточно.

Не уверены, что с защитой всё в порядке — поможем подобрать SSL-сертификат, настроить бэкапы и закрыть базовые дыры, чтобы сайт не стал случайной жертвой ботов.