Безопасность сайта: защита от взлома, утечек и подмены

Сайт компании — открытая для всего интернета система, которую постоянно проверяют автоматические сканеры злоумышленников. Им не важно, крупная вы компания или небольшой магазин: они ищут любые уязвимые сайты, чтобы разместить на них вредоносный код, рекламу, фишинговые страницы или украсть данные. Защита сайта — не разовая настройка, а регулярная работа.

Что грозит взломанному сайту

• Подмена содержимого: чужая реклама, ссылки, оскорбительные материалы
• Перенаправление посетителей на мошеннические сайты
• Кража данных из форм и личных кабинетов: телефоны, адреса, пароли
• Использование сервера для рассылки спама и атак на другие сайты
• Блокировка сайта поисковыми системами и браузерами как опасного
• Полная потеря сайта при отсутствии резервных копий

Обновления

Сайты часто взламывают через уже известные уязвимости в устаревших программах. Обновлять нужно:

• Систему управления сайтом (CMS)
• Плагины, модули, темы оформления
• Язык программирования и фреймворк на сервере
• Веб-сервер и операционную систему сервера

Неиспользуемые плагины и темы удаляйте полностью, а не просто отключайте: уязвимый код на сервере остаётся опасным. Плагины из непроверенных источников и «бесплатные» версии платных плагинов часто содержат встроенный вредоносный код.

Доступ к админке и защищённое соединение

• Уникальный длинный пароль для каждого администратора
• Двухфакторная аутентификация
• Отдельная учётная запись для каждого человека, без общих логинов
• Минимальные права: контент-менеджеру не нужны права на установку плагинов
• Ограничение попыток входа
• По возможности — доступ к админке только с определённых адресов или через VPN
• Удаление учётных записей бывших сотрудников и подрядчиков

HTTPS

Сайт должен работать только по защищённому протоколу HTTPS с действующим сертификатом. Это защищает данные, которые посетители вводят в формы, от перехвата. Бесплатные сертификаты доступны и обновляются автоматически, поэтому оснований работать без HTTPS нет.

Резервные копии

• Регулярные автоматические копии файлов и базы данных
• Хранение копий вне сервера сайта
• Несколько точек восстановления, чтобы можно было вернуться к состоянию до взлома, даже если он обнаружен не сразу
• Периодическая проверка восстановления

Защита форм и данных клиентов

• Проверка и очистка всех данных, которые вводят посетители, на стороне сервера
• Защита форм от автоматических отправок
• Хранение паролей пользователей только в хешированном виде
• Ограничение объёма персональных данных, которые собирает сайт
• Хранение данных в соответствии с требованиями законодательства Узбекистана о персональных данных

Для собственной разработки важно, чтобы программисты знали типовые уязвимости веб-приложений и проверяли код на них.

Сервер и хостинг

• Надёжный хостинг с поддержкой актуальных версий ПО
• Разделение сайтов: если на одном сервере несколько сайтов, взлом одного не должен открывать доступ к остальным
• Закрытые служебные порты и сервисы
• Доступ к серверу по ключам, а не по паролю

Мониторинг

• Уведомления о недоступности сайта
• Контроль изменений файлов
• Отслеживание сообщений поисковых систем в инструментах для веб-мастеров
• Анализ журналов на подозрительную активность

Многие владельцы узнают о взломе от клиентов или по предупреждению браузера. Мониторинг позволяет узнать раньше.

Если сайт взломан

1. Не удаляйте всё сразу — сохраните копию для анализа
2. Смените все пароли: админка, хостинг, база данных, FTP
3. Найдите и устраните причину: уязвимый плагин, украденный пароль
4. Восстановите сайт из чистой резервной копии
5. Обновите всё ПО
6. Проверьте, не пострадали ли данные клиентов

Чек-лист на сегодня

• Когда последний раз обновлялись CMS и плагины
• Кто имеет доступ к админке и включена ли двухфакторная защита
• Где лежат резервные копии и когда проверялось восстановление
• Работает ли сайт только по HTTPS

Если хотите проверить безопасность своего сайта или настроить его защиту и мониторинг, свяжитесь с нами.