Взлом или потеря данных обходятся дороже любой профилактики. Разбираем базовые меры защиты, которые владелец сайта может проконтролировать сам.
Безопасность сайта — задача владельца, а не только программиста
Безопасность сайта часто воспринимают как что-то сугубо техническое, что «настроили при разработке». На деле многие проблемы возникают не из-за сложных атак, а из-за простых вещей: просроченного сертификата, отсутствия резервных копий, устаревших плагинов и паролей, которые знают бывшие сотрудники и подрядчики.
Владельцу не нужно разбираться в коде, чтобы контролировать базовые меры защиты. Достаточно понимать, что должно быть настроено, и периодически проверять, что это действительно работает. Ниже — четыре направления, с которых стоит начать.
SSL-сертификат и HTTPS
SSL-сертификат шифрует данные между браузером посетителя и сервером — имена, телефоны, данные форм. Без него браузеры помечают сайт как небезопасный, и часть посетителей уходит сразу, а Google учитывает HTTPS как сигнал при ранжировании. Сейчас сертификат можно получить бесплатно, поэтому сайт без HTTPS — это просто недосмотр. Для интернет-магазинов и сайтов с личным кабинетом защищённое соединение особенно важно: клиент вводит там данные, которыми не готов делиться с посторонними.
Важно, чтобы сертификат обновлялся автоматически и не истекал внезапно, а все адреса с HTTP перенаправлялись на HTTPS. Проверьте и смешанный контент: если картинки или скрипты подгружаются по незащищённому протоколу, браузер может показывать предупреждение даже при наличии сертификата.
Резервные копии: где хранить и как проверять
Резервная копия — единственное, что спасает сайт после взлома, ошибки при обновлении или сбоя хостинга. Копировать нужно и файлы, и базу данных, причём регулярно: частота зависит от того, как часто меняется содержимое. Интернет-магазину с ежедневными заказами нужны более частые копии, чем сайту-визитке.
Главное правило — копии должны храниться отдельно от основного сервера. Если они лежат на том же хостинге, при серьёзной проблеме вы потеряете и сайт, и бэкапы. И периодически проверяйте восстановление: копия, из которой никто ни разу не пробовал восстановить сайт, может оказаться неполной или повреждённой. Уточните у подрядчика или хостинг-провайдера, где именно лежат копии и сколько версий хранится, и запишите это в документацию к сайту.
Обновления CMS, плагинов и библиотек
Значительная часть взломов сайтов на популярных CMS происходит через известные уязвимости в устаревших версиях движка, тем и плагинов. Разработчики выпускают исправления, но если их не устанавливать, сайт остаётся открытым для автоматических атак, которые массово сканируют интернет в поисках уязвимых версий.
Обновления стоит устанавливать регулярно, но не вслепую: сначала резервная копия, затем обновление, затем проверка ключевых функций — форм, корзины, оплаты. Неиспользуемые плагины и темы лучше удалить совсем, а не просто отключить. Если сайт написан на фреймворке, то же касается его библиотек. Удобно договориться с подрядчиком о регулярном плановом обслуживании, чтобы обновления не откладывались до момента, когда что-то уже сломалось.
Доступы: кто и куда может войти
Составьте список всех, у кого есть доступ к админ-панели, хостингу, домену и почте, и уберите лишних — особенно бывших сотрудников и подрядчиков. У каждого должна быть своя учётная запись с минимально необходимыми правами, а не общий пароль администратора. Включите двухфакторную аутентификацию там, где это возможно, особенно для регистратора домена и почты. Это одна из самых дешёвых мер, которые заметно повышают безопасность сайта.
Похожие вопросы мы закладываем при создании проектов — подробнее на странице разработки надёжных сайтов.
Обсудим ваш проект и подберём решение под задачу?
Обсудить защиту сайта