Защита сайта от взлома: базовые меры, которые закрывают большинство рисков

Владельцы небольших сайтов обычно уверены, что их взлом никому не интересен. «Кому нужен сайт компании по установке окон в областном центре?» Логика понятная, но неверная. Подавляющее большинство взломов не целевые: роботы круглосуточно перебирают тысячи сайтов подряд, проверяя типовые уязвимости и подбирая пароли. Им безразлично, чей это сайт. Им нужен доступ — чтобы разместить чужие страницы, разослать спам, встроить перенаправления или использовать сервер для атак на других.

Разберём базовые меры защиты, которые закрывают подавляющее большинство типовых сценариев. Речь не о сложных корпоративных решениях, а о том, что доступно любой компании и делается один раз.

Что происходит при взломе

Чтобы понимать масштаб, полезно знать, чем это заканчивается.

Размещение чужих страниц. На сайте появляются сотни страниц постороннего содержания. Поисковые системы их находят, и сайт начинает восприниматься как ресурс совсем другой тематики. Обращения прекращаются, восстановление занимает месяцы.

Скрытые перенаправления. Посетитель, пришедший из поиска, попадает на чужой ресурс. При этом сам владелец, заходящий напрямую, ничего не замечает — перенаправление настраивают избирательно. Такие взломы обнаруживаются позже всего.

Рассылка спама. Сервер начинает отправлять массовую почту. Итог — адрес попадает в списки нежелательных отправителей, и после этого перестают доходить обычные письма компании, включая уведомления о заявках.

Кража данных. Если на сайте есть личные кабинеты или база клиентов — это самая тяжёлая ситуация.

Порча или удаление. Реже, но случается: сайт стирают полностью.

Предупреждение в браузерах. Заражённые сайты помечаются, и посетители видят предупреждение об опасности.

Использование ресурсов. Сервер нагружают чужими задачами, сайт начинает тормозить или падать.

Общее у всех сценариев одно: обращения прекращаются, а восстановление стоит несопоставимо дороже, чем профилактика.

Мера первая: пароли и доступы

Самый частый способ взлома — не хитрая уязвимость, а подобранный или утёкший пароль.

Длинные пароли. Не короткое сложное сочетание, а длинная фраза. Двенадцать символов минимум, лучше шестнадцать и больше. Длина важнее экзотических символов.

Уникальность. Пароль от админки сайта не должен совпадать ни с чем другим. Утечка на постороннем сервисе не должна давать доступ к вашему сайту.

Хранение в менеджере паролей. Не в блокноте, не в файле на рабочем столе, не в переписке. Записанный в мессенджере пароль живёт в истории вечно.

Двухфакторная защита везде, где доступна. Для входа в панель управления сайтом, в хостинг, в панель регистратора домена. Это самая эффективная одиночная мера: даже подобранный пароль не даёт доступа.

Отдельные учётные записи для каждого человека. Не общий вход «администратор» на всех. Тогда видно, кто что делал, и можно отключить конкретного человека, не меняя всё.

Минимальные права. Контент-менеджеру не нужны права на изменение настроек сервера. Подрядчику по продвижению обычно достаточно доступа к аналитике и текстам.

Отзыв доступов при расставании. Обязательная процедура при увольнении сотрудника или завершении работы с подрядчиком. Составьте список того, что нужно отозвать, заранее — в момент расставания об этом обычно не думают.

Регулярная ревизия. Раз в квартал посмотрите список пользователей с доступом. Регулярно обнаруживаются учётные записи людей, ушедших два года назад.

Мера вторая: обновления

Большинство массовых взломов использует известные уязвимости в устаревших версиях систем управления и расширений. Известные — значит уже исправленные разработчиками. Уязвимыми остаются те, кто не обновился.

Обновляйте систему управления. Регулярно, не откладывая на годы. Чем больше версий пропущено, тем сложнее и рискованнее обновление.

Обновляйте расширения и шаблоны. Они уязвимы не меньше основной системы.

Удаляйте неиспользуемое. Отключённое расширение, оставшееся в файлах, может быть точкой входа. Всё, что не используется, нужно удалять, а не отключать.

Обновляйте серверное окружение. Устаревшие версии серверного программного обеспечения — отдельный источник рисков. Обычно это зона ответственности хостинга, но убедиться стоит.

Тестируйте перед обновлением. Обновления иногда ломают сайт. Правильный порядок: копия, обновление на копии, проверка, затем обновление рабочего сайта. И обязательно резервная копия до начала.

Важно понимать: «работает — не трогай» здесь плохой совет. Не трогая сайт годами, вы не сохраняете его в безопасности, а копите риск.

Мера третья: резервное копирование

Копии не предотвращают взлом, но превращают катастрофу в неприятность.

Ежедневно и автоматически. Ручное копирование раз в полгода бесполезно.

Файлы и база данных вместе. Одно без другого не восстанавливается.

Хранение вне сервера. Копии на том же сервере пропадут вместе с ним. Нужна вторая площадка или облачное хранилище.

Глубина хранения не меньше месяца. Взлом часто обнаруживают не сразу. Если у вас есть только вчерашняя копия, а заражение произошло неделю назад, копия тоже заражена.

Проверка восстановления. Копия, из которой никогда не восстанавливались, — это надежда, а не защита. Раз в полгода стоит проверить, что развернуть сайт из копии реально получается.

Мера четвёртая: защита панели управления

Ограничение доступа по адресу. Если в админку заходят только из офиса, можно разрешить вход только с определённых сетевых адресов. Самая надёжная мера, если условия позволяют.

Нестандартный адрес входа. Смена адреса панели управления с общеизвестного на произвольный отсекает массовый перебор. Это не защита сама по себе, но заметно снижает шум.

Ограничение попыток входа. После нескольких неудачных попыток — временная блокировка. Делает перебор паролей бессмысленным.

Дополнительная защита на уровне сервера. Простая парольная защита каталога панели управления средствами сервера — дополнительный барьер перед основной формой входа.

Уведомления о входе. Сообщение при входе с нового устройства позволяет заметить чужой доступ сразу.

Мера пятая: защита форм и загрузок

Формы на сайте — точка, через которую данные попадают внутрь.

Проверка данных на стороне сервера. Проверка только в браузере не защищает: её легко обойти.

Ограничение загружаемых файлов. Если посетители могут прикреплять файлы, разрешённые типы должны быть строго ограничены, а загруженные файлы — сохраняться там, откуда они не могут быть выполнены как программа.

Защита от массовой отправки. Ограничение частоты отправки с одного адреса, скрытые поля-ловушки. Это заодно решает проблему спама в заявках.

Аккуратность с проверочными изображениями. Слишком сложные проверки отсекают живых людей вместе с роботами. Скрытые методы обычно эффективнее.

Мера шестая: наблюдение

Взлом нужно заметить быстро — от этого напрямую зависит тяжесть последствий.

Проверка через Яндекс.Вебмастер. Панель показывает предупреждения о заражении и о появлении подозрительных страниц. Проверяйте раз в неделю, а лучше настройте уведомления.

Слежение за количеством страниц в индексе. Резкий рост числа известных поисковой системе страниц — типичный признак того, что на сайте появилось чужое содержимое.

Слежение за нагрузкой. Неожиданный рост потребления ресурсов часто означает постороннюю активность.

Проверка журналов сервера. Записи о входах в панель управления, о попытках подбора паролей, о необычных обращениях.

Проверка целостности файлов. Существуют средства, которые отслеживают изменения файлов сайта и сообщают о появлении новых или изменении существующих. Очень эффективно, потому что взлом почти всегда сопровождается изменением файлов.

Периодический осмотр глазами. Раз в месяц посмотрите сайт из поиска, а не напрямую: наберите название компании и перейдите по ссылке. Так обнаруживаются избирательные перенаправления.

Что делать, если взлом уже произошёл

Порядок действий важен: неверные шаги усложняют восстановление.

Не паникуйте и не удаляйте всё подряд. Сначала нужно понять масштаб.

Закройте сайт от посетителей на время разбирательства, если содержимое опасно.

Смените все пароли — панели управления, хостинга, базы данных, почты, регистратора домена. С других устройств, а не с того, что может быть заражено.

Сделайте копию текущего состояния — она понадобится, чтобы понять, как проникли.

Найдите точку входа. Без этого восстановление бессмысленно: сайт взломают повторно через день.

Восстановите из чистой копии, сделанной до заражения.

Обновите всё — систему управления, расширения, серверное окружение.

Проверьте отсутствие оставленных лазеек. Взломщики почти всегда оставляют способ вернуться.

Сообщите поисковым системам через панель Вебмастера, что проблема устранена, и запросите перепроверку.

Проследите за состоянием в течение следующих недель.

Если своих сил не хватает, это тот случай, когда лучше сразу привлечь специалистов: самостоятельная чистка без понимания механизма обычно заканчивается повторным заражением.

Базовый набор для небольшой компании

Если нужно коротко, вот минимум, закрывающий большинство рисков.

1. Длинные уникальные пароли, хранящиеся в менеджере паролей.
2. Двухфакторная защита на панели сайта, хостинге и у регистратора домена.
3. Отдельные учётные записи с минимальными правами, ревизия раз в квартал.
4. Регулярное обновление системы управления и расширений.
5. Удаление неиспользуемого.
6. Ежедневные резервные копии вне сервера с хранением не меньше месяца и проверкой восстановления.
7. Ограничение попыток входа и нестандартный адрес панели.
8. Проверка данных форм на стороне сервера и ограничение загрузок.
9. Подключённый Яндекс.Вебмастер с уведомлениями.
10. Ответственный человек и понимание, к кому обращаться при проблеме.

Всё это настраивается за один рабочий день и дальше требует минимального внимания.

Человеческий фактор: то, что не закрывается настройками

Значительная часть проникновений происходит не через уязвимость в коде, а через людей. Несколько ситуаций, которые встречаются регулярно.

Заражённый компьютер сотрудника. Вредоносная программа на рабочей машине забирает сохранённые в браузере пароли, в том числе от панели сайта и от хостинга. Сайт при этом идеально настроен, а доступ утёк. Отсюда правило: не сохранять пароли от панели управления в браузере и держать рабочие компьютеры в порядке.

Пароли в переписке. Отправленные в мессенджере или по почте учётные данные остаются в истории навсегда — и на устройстве отправителя, и получателя. При утере телефона или взломе почты они уходят вместе со всем остальным.

Письма от имени хостинга или регистратора. Сообщение с просьбой срочно подтвердить данные, войти по ссылке или продлить услугу. Ссылка ведёт на копию страницы входа, введённые данные попадают к посторонним. Правило простое: никогда не входить по ссылкам из писем, только набирая адрес самостоятельно.

Обращение к «специалисту» из объявления. Владелец сайта, столкнувшись с проблемой, находит исполнителя по объявлению, передаёт полный доступ незнакомому человеку и больше его не видит. Доступ при этом остаётся.

Общий пароль на всех. Когда одна учётная запись используется всеми, утечка через любого сотрудника открывает доступ ко всему.

Ни одна техническая мера не закрывает эти сценарии. Здесь работают только договорённости внутри компании и привычки: пароли — в менеджере паролей, доступ — персональный, вход — только по набранному вручную адресу, доступы посторонним — минимальные и с последующим отзывом.

Итог

Защита сайта — не разовое действие и не дорогая система. Это несколько базовых привычек: сложные уникальные пароли с двухфакторной защитой, своевременные обновления, работающие резервные копии и наблюдение за тем, что происходит.

Взлом небольшого сайта почти никогда не бывает результатом изощрённой атаки. Это результат устаревшей версии, простого пароля или доступа, который забыли отозвать. Именно поэтому базовые меры дают такую высокую отдачу: они закрывают ровно те двери, через которые заходят.

Если вы не уверены в состоянии защиты своего сайта или хотите проверить, нет ли уже посторонней активности, — обратитесь в компанию «Сайты Профессионально». Мы бесплатно проведём первичную проверку: посмотрим версии и обновления, наличие и работоспособность резервных копий, признаки постороннего вмешательства, — и предложим понятный план по закрытию слабых мест.