Откуда берутся проблемы
- Слабые пароли
- admin/123456 на админке или хостинге. Подбираются автоматически за минуты.
- Устаревший движок
- Плагины и темы, которые годами не обновляли, с известными уязвимостями.
- Доступы у всех
- Бывшие сотрудники и подрядчики до сих пор могут войти в админку.
- Спам через формы
- Формы без защиты превращаются в канал для спама и мусорных заявок.
Минимум защиты
- Сайт работает только по HTTPS с действующим сертификатом
- Уникальные сложные пароли и двухфакторная авторизация на хостинге, домене и в админке
- Отдельные учётные записи для каждого сотрудника и подрядчика
- Регулярные обновления движка и модулей
- Защита форм от ботов без раздражающих капч
- Ежедневные резервные копии, которые хранятся отдельно от сайта
Бэкапы: проверьте, что они действительно есть
Резервная копия, которую никто ни разу не пробовал восстановить, — это надежда, а не бэкап. Важно, чтобы копий было несколько за разные дни, они хранились в другом месте, а не на том же сервере, и вы знали, сколько времени займёт восстановление.
Для лендинга достаточно копии после каждого изменения. Для магазина или бота с заказами — ежедневной копии базы данных, а лучше чаще. Если сайт хранит персональные данные клиентов, копии тоже должны храниться в Казахстане и быть защищены.
Если сайт взломали
Не паникуйте и не удаляйте всё
Сохраните текущее состояние для анализа: так проще найти, как именно взломали.
Смените все пароли
Хостинг, админка, база данных, почта, доступы по FTP и SSH.
Восстановите из чистой копии
Копия до момента взлома. Затем закройте уязвимость, иначе всё повторится.
Проверьте данные клиентов
Если была утечка персональных данных — действуйте по требованиям закона и с юристом.
- HTTPSобязательно для форм и оплаты
- ежедневнобэкап базы для магазина и бота
- 2FAна хостинге, домене и почте
Доступы: кто и куда может войти
Составьте простую таблицу: домен, хостинг, админка сайта, аналитика, рекламные кабинеты, CRM, бот. Для каждого сервиса запишите, кто имеет доступ и на кого оформлен владелец. Удалите доступы бывших сотрудников и подрядчиков. Пароли храните в менеджере паролей, а не в заметках телефона или общем чате.
Это занимает час, но закрывает самый частый сценарий проблем: доступ остался у человека, который ушёл, или аккаунт привязан к почте, которой больше никто не пользуется.
Защита форм и заявок
Боты находят формы на сайтах и отправляют в них рекламу и мусор. Классическая капча с картинками раздражает живых людей и снижает число заявок. Современные способы защиты работают незаметно: скрытые поля, проверка времени заполнения, ограничение частоты отправки, невидимые проверки от провайдеров. Так в CRM попадают только настоящие обращения.
Отдельно стоит защитить уведомления: если заявки приходят в Telegram или на почту, доступ к этим чатам и ящикам должен быть только у сотрудников, которые их обрабатывают. В заявках содержатся персональные данные, и их утечка — это и репутационный, и юридический риск.
Обновления: регулярно, но аккуратно
Обновления закрывают известные уязвимости, поэтому откладывать их надолго опасно. Но обновлять рабочий сайт вслепую тоже рискованно: новый модуль может конфликтовать со старым. Правильный порядок — сделать резервную копию, проверить обновление на тестовой копии сайта и только потом применять на рабочем. Для сайтов на чистом коде без плагинов таких обновлений гораздо меньше.