Многие владельцы небольших сайтов считают, что взлом им не грозит: «Кому нужен сайт маленькой компании?» На самом деле большинство атак не направлены на конкретный сайт. Их проводят автоматические программы, которые сканируют интернет в поисках любых уязвимых сайтов. Им не важно, большая у вас компания или маленькая, — важно только, есть ли уязвимость.
Взломанный сайт может рассылать спам, показывать посетителям вредоносную рекламу, перенаправлять их на мошеннические страницы или использоваться для атак на другие сайты. Поисковые системы помечают такие сайты как опасные, и посетители видят предупреждение вместо вашей страницы.
Хорошая новость: большинство атак можно предотвратить простыми мерами. Разберём основные.
Обновления
Самая частая причина взломов — устаревшее программное обеспечение. Когда разработчики CMS или плагина находят уязвимость, они выпускают обновление и публикуют информацию о проблеме. Злоумышленники тут же начинают искать сайты, которые ещё не обновились.
Что делать:
- регулярно обновлять CMS, темы, плагины и модули;
- перед обновлением делать резервную копию;
- по возможности проверять обновления на тестовой копии сайта;
- удалять неиспользуемые плагины и темы — они тоже могут содержать уязвимости.
Пароли и доступы
Простые пароли подбираются автоматически за считанные минуты. А один и тот же пароль для разных сервисов означает, что утечка в одном месте открывает доступ ко всем остальным.
Правила работы с паролями:
- Используйте длинные уникальные пароли для админки сайта, хостинга, почты и регистратора домена.
- Храните пароли в менеджере паролей, а не в текстовом файле на рабочем столе или в мессенджере.
- Включите двухфакторную аутентификацию везде, где это возможно.
- Создавайте отдельные учётные записи для каждого сотрудника и подрядчика вместо общего логина.
- Давайте каждому только те права, которые ему необходимы.
- Удаляйте доступы сотрудников и подрядчиков, которые больше не работают с сайтом.
- Меняйте пароли после окончания работы с внешними исполнителями.
Резервное копирование
Даже при всех мерах защиты что-то может пойти не так: взлом, сбой сервера, ошибка при обновлении, случайное удаление данных. Резервная копия — последняя линия обороны, которая позволяет восстановить сайт.
Правила резервного копирования:
- копии делаются регулярно и автоматически, частота зависит от того, как часто меняется сайт;
- копируются и файлы, и база данных;
- копии хранятся в нескольких местах, обязательно хотя бы одна — отдельно от основного сервера;
- хранится несколько последних версий, а не только самая свежая — заражение могут обнаружить не сразу;
- периодически проверяется, что из копии действительно можно восстановить сайт.
Защищённое соединение
Сертификат SSL обеспечивает шифрование данных между браузером посетителя и сервером. Без него данные, которые вводят пользователи — имена, контакты, сообщения, — передаются в открытом виде и могут быть перехвачены.
Кроме того, браузеры помечают сайты без защищённого соединения как небезопасные. Это отпугивает посетителей и снижает доверие.
Сегодня сертификаты доступны бесплатно у большинства хостинг-провайдеров. Важно настроить автоматическое продление и перенаправление всех посетителей на защищённую версию сайта.
Защита форм
Формы обратной связи — частая цель спам-ботов. Они отправляют сотни бессмысленных заявок, засоряют почту и могут использоваться для попыток взлома.
Способы защиты:
- скрытые поля, которые заполняют только боты;
- проверка времени заполнения формы;
- невидимые проверки на автоматизацию;
- ограничение количества отправок с одного адреса;
- проверка и очистка вводимых данных на сервере.
Хостинг
Надёжность сайта во многом зависит от хостинга. Дешёвый хостинг с устаревшим программным обеспечением и сотнями сайтов на одном сервере — потенциальная проблема.
При выборе хостинга обратите внимание:
- на актуальность версий серверного ПО;
- наличие автоматического резервного копирования;
- защиту от атак на уровне сервера;
- оперативность технической поддержки;
- расположение серверов — для российских компаний важно хранение персональных данных в России.
Мониторинг
Чем раньше вы узнаете о проблеме, тем меньше будет ущерб. Мониторинг позволяет отслеживать:
- доступность сайта — отвечает ли он на запросы;
- изменения в файлах — не появились ли новые подозрительные файлы;
- подозрительную активность — массовые попытки входа в админку;
- попадание в списки опасных сайтов поисковых систем;
- срок действия сертификата и домена.
Признаки взлома
Иногда взлом не очевиден. Обратите внимание, если:
- На сайте появились непонятные ссылки, тексты или реклама.
- Посетителей перенаправляет на другие сайты — иногда только с мобильных устройств или только при переходе из поиска.
- В поисковой выдаче у страниц сайта появились странные заголовки на других языках.
- Браузер или поисковик показывает предупреждение об опасности.
- Хостинг сообщает о превышении нагрузки или рассылке спама.
- В админке появились незнакомые пользователи.
- Сайт стал заметно медленнее без видимых причин.
Что делать, если сайт взломан
Не паникуйте и действуйте последовательно:
- Смените все пароли: админка, хостинг, база данных, почта.
- Свяжитесь с хостинг-провайдером — у них может быть дополнительная информация и инструменты.
- Найдите и удалите вредоносный код, или восстановите сайт из чистой резервной копии.
- Найдите и устраните уязвимость, через которую произошёл взлом, — иначе он повторится.
- Обновите все компоненты сайта.
- Если сайт попал в списки опасных, после очистки запросите повторную проверку в панелях вебмастеров.
Лечение взломанного сайта требует опыта. Если у вас нет специалиста, лучше обратиться к профессионалам — неполная очистка приводит к повторному заражению.
Профилактика всегда дешевле лечения. Регулярное обслуживание стоит меньше, чем восстановление после одного серьёзного взлома.
Безопасность и персональные данные
Если сайт собирает данные посетителей через формы, вы несёте ответственность за их защиту. Утечка контактов клиентов — это не только репутационный ущерб, но и возможные претензии со стороны контролирующих органов. Поэтому важно хранить заявки в защищённом месте, ограничивать доступ к ним, не пересылать базы клиентов по открытым каналам и удалять данные, которые больше не нужны. На сайте должны быть опубликованы политика конфиденциальности и форма согласия на обработку персональных данных, а в формах — отметка о согласии, которую пользователь ставит сам.
Простой план на первую неделю
Если вы давно не занимались безопасностью сайта, начните с малого: проверьте, когда делалась последняя резервная копия; смените пароли от админки и хостинга на длинные уникальные; удалите учётные записи бывших сотрудников и подрядчиков; посмотрите, есть ли непоставленные обновления. Это займёт пару часов и закроет самые очевидные дыры.
Итог
Безопасность сайта — это не разовая настройка, а постоянный процесс. Обновления, надёжные пароли, регулярные резервные копии, защищённое соединение, защита форм, качественный хостинг и мониторинг — вместе эти меры защищают от подавляющего большинства угроз.
Если вы не хотите заниматься этим самостоятельно, мы возьмём безопасность вашего сайта на себя в рамках технической поддержки. Начнём с проверки текущего состояния — напишите нам.