Как защитить сайт от взлома:
простые меры

Взлом сайта — это не всегда работа хакера-виртуоза из фильмов. В 99% случаев это автоматика: боты сутками перебирают адреса, ищут дырявые движки и слабые пароли. Если ваш сайт попал под раздачу, последствия неприятные — от спама в поиске до кражи данных клиентов. Разберём по-простому, как защитить сайт от взлома, какие уязвимости встречаются чаще всего и что делать, если сайт уже взломали.

Почему взламывают даже маленькие сайты

Частое заблуждение: «мой сайт-визитка никому не нужен, ломать нечего». На деле безопасность сайта важна для любого проекта, потому что боты не выбирают жертву по размеру бизнеса — они сканируют всё подряд. Чужой сайт ценен не сам по себе, а как ресурс. Вот зачем его захватывают:

• Спам и рассылки. С вашего домена массово шлют вредоносные письма — репутация домена сгорает;
• Скрытые редиректы. Посетителей незаметно перекидывают на казино, аптеки и фишинг;
• Майнинг. Ваш сервер втихую добывает криптовалюту, сайт тормозит, хостинг ругается;
• Раздача вредоноса. Через сайт заражают компьютеры ваших же клиентов;
• Чёрное SEO. На страницы вшивают чужие ссылки, за которые в поиске банят уже вас.

То есть массовые атаки — это конвейер. Никто не сидит и не ломает конкретно вас: уязвимости сайта находит скрипт, а дальше всё идёт по накатанной. Именно поэтому базовая защита сайта окупается всегда: она стоит недорого, а восстановление после взлома, потеря клиентов и просадка в поиске обходятся в разы дороже.

Частые уязвимости сайта

Большинство взломов происходит через одни и те же слабые места. Если закрыть их, вы отсекаете подавляющую часть автоматических атак:

• Устаревшая CMS и плагины. WordPress, Bitrix и их модули регулярно латают дыры. Не обновляетесь — оставляете известную уязвимость нараспашку;
• Слабые пароли. admin / 123456 подбирается ботом за секунды перебором;
• Нет HTTPS. Без SSL данные и пароли летят по сети открытым текстом, их можно перехватить;
• Дыры в формах. Поля без проверки — вход для SQL-инъекций и загрузки чужих скриптов;
• Открытая админка. Панель управления по стандартному адресу без ограничений — приглашение перебирать пароли.

Базовые меры защиты сайта

Хорошая новость: защита сайта на 90% состоит из простых, недорогих и разовых действий. Вот база, которую стоит внедрить каждому:

• SSL / HTTPS. Обязательный минимум. Шифрует трафик и убирает пометку «Не защищено» в браузере;
• Регулярные обновления. Держите движок, тему и плагины в актуальных версиях — это закрывает известные дыры;
• Сложные пароли и 2FA. Длинный пароль плюс двухфакторная аутентификация делают перебор бессмысленным;
• Ограничение доступа к админке. Смените стандартный адрес панели, ограничьте вход по IP, поставьте лимит попыток;
• Защита форм от спама. Валидация полей и антиспам (капча, honeypot) отсекают ботов и инъекции;
• Регулярные бэкапы. Автоматические копии по расписанию — это ваша страховка, чтобы откатиться за минуты;
• Security-заголовки. HSTS, Content-Security-Policy, X-Frame-Options и другие HTTP-заголовки закрывают целый класс атак на стороне браузера.

Безопасность — это не разовая кнопка, а гигиена: обновления, бэкапы и сильные пароли работают только тогда, когда о них не забывают.

Отдельно стоит сказать про бэкапы: копия, которая лежит на том же сервере, что и сайт, при серьёзном взломе может пострадать вместе с ним. Надёжнее хранить резервные копии в отдельном месте и регулярно проверять, что из них реально можно восстановиться, — бэкап без проверки восстановления это иллюзия защиты.

На своих проектах мы настраиваем HTTPS и security-заголовки по умолчанию — это входит в базовую сдачу сайта, а не в «доплату за безопасность». Отдельно про SSL и выбор площадки мы писали в гайде о хостинге и домене — там же про то, как правильный хостинг сам по себе снижает риски.

Сайт взломали — что делать

Если сайт уже взломали, паниковать не нужно, но действовать стоит быстро и по порядку. Хаотичное удаление файлов часто делает только хуже. Правильная последовательность такая:

• Убрать вредонос. Найдите и удалите заражённые файлы и вставки в коде, проверьте сайт антивирусным сканером;
• Восстановить из бэкапа. Откатитесь на заведомо чистую копию — это быстрее и надёжнее ручной чистки;
• Сменить все пароли. Админка, база данных, FTP/SSH, панель хостинга, почта — меняем всё разом;
• Закрыть уязвимость. Обновите CMS и плагины, иначе вас взломают повторно через ту же дыру;
• Снять пометку в поиске. После чистки отправьте сайт на перепроверку в Яндекс и Google, чтобы убрать предупреждение «сайт может угрожать безопасности».

Отдельный важный шаг после чистки — понять, как именно вас взломали, и закрыть саму точку входа. Если этого не сделать, автоматика вернётся через ту же дыру уже через пару дней, и вся уборка окажется напрасной. Поэтому мы всегда доводим дело до причины, а не просто удаляем последствия.

Если чистого бэкапа нет, а следы взлома расползлись по всему сайту — это как раз тот случай, когда дешевле и быстрее подключить специалиста, чем чинить наугад.

Что делаем мы

Мы проводим аудит безопасности сайта и закрываем найденные дыры под ключ: настраиваем SSL и security-заголовки, обновляем движок и плагины, ставим автоматические бэкапы, ограничиваем доступ к админке и защищаем формы. Если сайт уже взломали — чистим вредонос, восстанавливаем из копии и убираем пометку в поиске.

Начинаем с бесплатного аудита: смотрим сайт, показываем реальные риски и цену — и только потом вы решаете. Работаем через безопасную сделку Kwork, оплата идёт после результата. Опишите задачу в заявке или пришлите адрес сайта — проверим и скажем, что усилить.