Защита сайта от взлома начинается с проверки предупреждений и резервной копии с испытанным восстановлением. Затем обновите CMS и расширения, настройте отдельные доступы со вторым фактором, права, HTTPS и защиту хостинга. Назначьте ответственного за уведомления. Если есть подозрение на заражение, сначала сохраните состояние и поручите специалисту ограничение угрозы и очистку с устранением причины.
Чтобы защитить сайт компании от взлома, проверьте шесть групп мер ниже: для каждой указаны результат и поручение администратору. Если признаков заражения нет, после исходной проверки переходите к профилактике. При подозрении на взлом сначала нужен разбор инцидента: обновления сами по себе заражение не устраняют.
Для производства безопасность сайта компании — это сохранность каталога, запросов КП и чертежей клиентов. Последствия взлома — не только простой: злоумышленники могут изменить получателя заявки или разместить вредоносные скрипты. При подозрении на утечку данных выясните, какие сведения могли стать доступны посторонним.
Инструкция рассчитана на WordPress, 1С-Битрикс и Joomla на обычном хостинге. Руководитель проверяет доказательства выполнения, изменения сервера и кода поручает администратору. Защита сайта от взлома снижает риски: после изменений должны работать каталог, загрузка документов и передача обращений отделу продаж.
1. Проверьте признаки взлома и сохраните исходное состояние
Откройте личный кабинет провайдера → услугу хостинга → панель управления. Найдите сайт, уведомления и обращения в поддержку. Названия пунктов зависят от провайдера. Зафиксируйте время первого предупреждения, адрес проблемной страницы, текст ошибки и недавние изменения. Отчёты со служебными путями и данными посетителей передавайте только ответственным за проверку.
Где посмотреть предупреждения
В Яндекс Вебмастере выберите нужный сайт. Откройте «Оптимизация сайта → Безопасность и нарушения»; если меню отличается, сверьте путь в кабинете и справке Яндекс Вебмастера. Откройте описание проблемы и сохраните примеры адресов. Падение позиций само по себе не доказывает заражение.
В Google Search Console выберите ресурс → «Проблемы безопасности и меры, принятые вручную» → «Проблемы безопасности». Отдельно проверьте отчёт о мерах, принятых вручную: это другой тип проблем. Если меню отличается, сверьте путь в справке Google. Отсутствие предупреждений не подтверждает чистоту всех файлов.
Тревожные сигналы: неожиданный переход на чужой ресурс, неизвестный администратор, посторонние ссылки в каталоге, изменённый получатель заявки, сообщение хостинга о вредоносном коде. Попросите сохранить файлы, базу и доступные журналы до очистки. Такую копию пометьте как подозрительную и храните вне публичного доступа.
При подтверждённой угрозе согласуйте с хостингом временное ограничение опасного участка. Если сайт уже не открывается или нет рабочей копии, поручите специалисту восстановление сайта с разбором доступных данных. При активном инциденте профилактические шаги ниже выполняют в рамках согласованного плана восстановления.
Как проверить. Есть список симптомов и затронутых страниц, копия исходного состояния, ответственный за инцидент. Неизвестные доступы зафиксированы и отозваны, посетители не направляются на заведомо опасную страницу.
Типичная ошибка. Удалить подозрительный файл, потеряв материал для разбора причины.
Что сказать подрядчику. «Сохраните состояние и журналы. Укажите, что подтверждено, что пока подозрение, какие разделы нужно ограничить и как вернуть их в работу».
2. Сделайте резервную копию и проверьте восстановление
В панели хостинга найдите раздел резервного копирования. Выберите сайт, базу данных и дату, затем изучите состав копии. Универсальной кнопки нет: у провайдеров различаются панели и ограничения. Ориентируйтесь на инструкцию своей услуги: бэкапы могут содержать весь аккаунт, отдельный сайт или только базу.
Поручите администратору проверить, входят ли в копию файлы CMS, база, загруженные документы и настройки, необходимые для запуска. Сохраните отдельный экземпляр в хранилище с самостоятельным доступом: компрометация панели не должна открывать все копии. Архив в публичной папке сайта может раскрыть данные.
Где хранить бэкапы и как проверить восстановление
Поручите администратору восстановить сайт из резервной копии в изолированной среде, закрытой от посетителей и индексации. До запуска отключите реальные рассылки, задания по расписанию и подключения к рабочим CRM и учётной системе; задайте тестового получателя. Закрытие от индексации не заменяет ограничение доступа, особенно при проверке подозрительной копии. Проверьте карточку оборудования, скачивание паспорта, форму расчёта и вход администратора. При подозрении на взлом копию дополнительно проверяют на заражение: дата раньше предупреждения ещё не означает чистоту.
Как проверить. Попросите адрес закрытой тестовой среды, дату восстановленной копии, результаты проверок и описание возврата. Если восстановление перезапишет базу, отдельно сохраните новые заявки и изменения каталога: их возврат может потребовать ручной сверки. Частоту копирования и срок хранения выбирайте по допустимой потере изменений. Настройте регулярное резервное копирование и уведомление об ошибке: сбой задания не должен оставаться незамеченным до аварии.
Типичная ошибка. Принять сообщение «архив создан» за доказательство возможности восстановления.
Что сказать подрядчику. «Покажите восстановление без воздействия на рабочий сайт. Запишите, какие данные потеряются при возврате к этой дате и как сохранить новые обращения».
3. Закройте уязвимости CMS: обновите и удалите лишнее
Обновления исправляют известные уязвимости ядра и расширений. Если поддержка компонента прекращена, попросите план замены: отсутствие доступных обновлений ещё не означает отсутствие проблем.
Составьте перечень: ядро CMS, тема или шаблон, плагины и модули, версия PHP, интеграции с CRM и учётной системой. Для каждого компонента укажите назначение и источник обновлений. Неизвестное происхождение расширения — повод разобраться до установки новой версии.
Обновление CMS и серверного ПО
В WordPress откройте «Консоль → Обновления». После проверенной копии и испытания совместимости на тестовом сайте выберите нужные обновления и запустите их. В «Плагины → Установленные» сопоставьте расширения с перечнем. Неиспользуемые удаляйте после проверки зависимостей; простое отключение оставляет файлы на сервере. Названия сверьте в кабинете и справке WordPress.
В 1С-Битрикс найдите раздел обновления платформы в Marketplace и отдельно проверьте обновления установленных решений. Попросите исполнителя показать доступные стабильные обновления и журнал установки. Наличие доступных обновлений и ограничения лицензии сверяйте в кабинете и справке своей установки.
В Joomla найдите «Система → Обновление → Joomla» и отдельно обновления расширений. Названия зависят от версии и языка; сверьте их со встроенной справкой. Переход на другое поколение CMS требует проверки совместимости шаблона и расширений, а не только нажатия кнопки. Зафиксируйте версии до и после.
Попросите провайдера подтвердить, кто обновляет программное обеспечение сервера. Выбор PHP в панели не подтверждает обновление операционной системы и веб-сервера. Администратор согласует поддерживаемую версию PHP с требованиями CMS и проверяет сайт на тесте до переключения.
Проверьте забытые тестовые копии и старые сайты в том же аккаунте хостинга. Архивируйте нужное вне публичного каталога, затем согласуйте удаление лишнего. Устаревшая копия с общими доступами оставляет риск для рабочего проекта.
Как проверить. После переноса обновлений откройте каталог, фильтры, карточку продукта и документы. Отправьте запрос КП с телефона и компьютера, убедитесь в доставке и сохранении контекста товара. При сбое возвращают согласованный комплект файлов и базы, учитывая новые данные после копирования.
Типичная ошибка. Обновить всё сразу на рабочем сайте и обнаружить сломанную интеграцию после жалобы отдела продаж.
Что сказать подрядчику. «Передайте перечень компонентов, удалённого и обновлённого, результаты проверки совместимости и способ возврата. Объясните оставшиеся исключения».
Защита форм от SQL-инъекций и XSS-атак
Для собственных форм и доработок поручите разработчику проверку обработки входных данных. Защита от SQL-инъекций требует безопасных запросов к базе, а защита от XSS — безопасного вывода пользовательских данных на странице. Одного защитного плагина недостаточно. Для приёмки нужны описание исправленного участка и результаты проверки в тестовой среде, без данных клиентов.
Не пытайтесь воспроизвести атаки на рабочем сайте. Хакеры используют уязвимости веб-приложений; задача владельца — получить подтверждение, что обновлены компоненты и проверены собственные доработки. После исправлений убедитесь, что посетитель может выбрать модель, приложить техническое задание и получить подтверждение отправки.
4. Настройте пароли и двухфакторную аутентификацию
Откройте список пользователей CMS и перечень доступов в кабинете хостинга. Уберите доступы бывших сотрудников и подрядчиков, предварительно выяснив, не обслуживают ли их записи обмен данными. Каждому исполнителю выдайте отдельную запись с необходимыми правами. Редактору карточек продукции обычно не требуется установка расширений.
Задайте длинные случайные и уникальные пароли через менеджер паролей. Название завода с годом основания легко предугадать; повторное использование пароля связывает безопасность разных сервисов. Защитите также почту восстановления, кабинет регистратора домена и хостинг: через них можно вернуть контроль над сайтом. После инцидента администратор проверяет и отзывает посторонние сеансы и ключи интеграций. Пароли меняют с доверенного устройства после восстановления контроля; если злоумышленники сохранили доступ, одной смены пароля недостаточно.
Как защитить сайт на WordPress, 1С-Битрикс и Joomla
Для WordPress на собственном хостинге двухфакторную аутентификацию подключают подходящим поддерживаемым решением. Не ищите обязательную штатную кнопку по инструкции WordPress.com: это другой вариант размещения. Путь настройки сверяйте со справкой выбранного расширения.
В Joomla откройте собственную учётную запись и вкладку многофакторной аутентификации, если она доступна в вашей версии. Настройте метод и сохраните резервный способ входа отдельно. В 1С-Битрикс попросите администратора проверить настройку двухэтапной авторизации и резервных кодов по документации своей установки.
Защита от фишинга и подбора паролей
Попросите администратора настроить доступное ограничение повторных неудачных входов и журналирование, затем проверить обычный вход пользователей. Безопасность нельзя принимать по числу «отражённых атак»: важны действующие правила и отсутствие блокировки сотрудников.
Объясните сотрудникам: пароли и резервные коды не передают по просьбе из письма. В кабинет входят по сохранённому адресу, а необычный запрос поддержки проверяют через известный канал. Такая проверка снижает риск фишинга, когда злоумышленники выдают себя за доверенный сервис.
Ограничение админки по IP или через VPN поручите администратору, если сотрудники смогут стабильно подключаться этим способом. Предусмотрите аварийный доступ владельца. Не закрывайте публичные обработчики форм вместе с административными страницами.
Как проверить. Выйдите и войдите заново: требуется второй фактор; резервный способ доступен владельцу. Редактор не может управлять плагинами. Форма расчёта работает без авторизации посетителя.
Типичная ошибка. Оставить общий логин и единственный второй фактор на телефоне подрядчика.
Что сказать подрядчику. «Покажите роли, отзыв старых доступов и вход со вторым фактором. Передайте владельцу порядок восстановления доступа без отправки паролей в общий чат».
5. Настройте права, HTTPS и защиту хостинга
В панели откройте файловый менеджер и свойства файлов — только для просмотра. Типовые каталоги сайта: public_html или www; расположение зависит от хостинга. Права должен менять администратор с учётом владельца файлов и режима работы PHP. Не применяйте найденную в интернете команду ко всему аккаунту.
Что поручить администратору
- Разрешить запись только там, где она нужна CMS; проверить владельцев файлов и доступ к конфигурации с секретами.
- Закрыть публичное скачивание архивов, служебных отчётов и журналов; проверить недоступность извне.
- Проверить возможность запрета исполнения серверного кода в каталогах загрузок без нарушения работы CMS.
- Проверить изоляцию соседних сайтов и учётных записей на хостинге.
Права зависят от конфигурации сервера и требований CMS. Универсального набора для WordPress, 1С-Битрикс и Joomla нет: попросите обоснование выбранной схемы.
HTTPS и SSL-сертификат
В разделе сертификатов панели найдите сертификат TLS, который часто называют SSL-сертификатом. Проверьте домен, срок действия и автоматическое продление. Откройте по HTTPS каталог, админку и форму, проверьте сертификат в браузере и переход с HTTP. Отправка данных должна проходить по защищённому соединению. HTTPS шифрует передачу, но не удаляет вредоносный код и не устраняет уязвимости сайта.
WAF, антивирус и защита от DDoS-атак
Уточните у провайдера, включены ли антивирус и WAF — фильтрация подозрительных веб-запросов. WAF может работать у провайдера, перед сервером как внешний сервис или внутри CMS; уточните, какой трафик проходит через фильтр и кто разбирает его события. Фильтр помогает защитить сайт от части атак, но не исправляет уязвимости и не очищает заражение.
Защита от DDoS-атак решает отдельную задачу доступности при перегрузке. Спросите провайдера, входит ли она в услугу, какие ресурсы защищает и куда обращаться при атаке. Ни WAF, ни DDoS-защита не заменяют обновления системы и антивирусную проверку. Сбои доступности сами по себе не доказывают атаку: причину сверяют с журналами и поддержкой.
В 1С-Битрикс проверьте доступные средства раздела «Настройки → Проактивная защита». В поддерживаемых установках здесь может быть «Монитор проактивной защиты»: состав зависит от версии модуля. Попросите показать состояние фильтра, события и исключения. Названия и доступность сверяйте в кабинете и справке.
Как проверить. После изменения правил отправьте заявку на расчёт с допустимым вложением, запрос КП из карточки и проверьте обмен с CRM. При блокировке найдите конкретное событие WAF; исключение делают узким, с причиной и возможностью возврата.
Типичная ошибка. Выдать всем полный доступ к файлам ради загрузки документов или отключить весь фильтр ради одной формы.
Что сказать подрядчику. «Передайте изменения прав и правил до/после, объясните исключения, покажите результаты проверки форм и порядок отмены изменений».
6. Включите мониторинг и примите работу по доказательствам
В панели найдите антивирус, выберите сайт и запустите проверку по инструкции провайдера. Используйте доступное у провайдера средство: наличие антивируса, расписания и лечения зависит от услуги. Попросите назвать продукт, область проверки и ограничения. Введите адрес ответственного в настройках уведомлений, если панель это поддерживает. Проверьте доставку доступным тестовым уведомлением или вместе с поддержкой.
Как читать отчёт сканера
Для каждой находки нужны путь, дата проверки, тип обнаружения и решение специалиста. Подозрительный фрагмент не равен доказанному заражению; известный вредоносный код требует разбирательства. Попросите сравнить файл с чистой поставкой компонента и учесть собственные доработки. Если используется AI-Bolit, запросите версию, дату баз, параметры проверки и пояснение статусов по инструкции именно этой поставки. Актуальность и возможности AI-Bolit нужно подтвердить у поставщика; названия статусов по старым публикациям не переносите. Не удаляйте всё найденное автоматически.
Сканер файлов не заменяет проверку базы, пользователей, запланированных заданий и внешних подключений. В приёмке отметьте проверенные области и ограничения. «Чисто» без границ проверки не позволяет оценить результат.
Как запросить повторную проверку поисковиками
После устранения всех указанных проблем откройте их описание в Яндекс Вебмастере. Укажите изменения и доступные подтверждения, отметьте «Нарушение исправлено», нажмите «Отправить на проверку» и подтвердите отправку. Названия сверьте с кабинетом и справкой. Статус отправки ещё не означает снятия ограничения.
В Google Search Console запросите проверку в отчёте «Проблемы безопасности» и опишите устранённые причины и принятые меры. Примеры адресов могут быть неполными: исправления нужны на всех затронутых страницах. Не отправляйте повторный запрос до решения по текущему. Для мер, принятых вручную, используется отдельный отчёт и запрос на пересмотр. Возврат прежних позиций после очистки не гарантирован.
Регламент защиты от кибератак
| Когда | Ответственный | Что остаётся после проверки |
|---|---|---|
| При предупреждении | Маркетолог и администратор | Описание, сохранённое состояние, решение по угрозе |
| При обновлении | Разработчик | Версии, копия, проверка форм, способ возврата |
| При смене исполнителя | Владелец доступов | Отозванные записи и переданные права |
| По согласованному расписанию | Администратор | Проверка копий, уведомлений и доступности |
В Яндекс Вебмастере включите уведомления о безопасности; в Search Console и кабинете провайдера проверьте получателей и доступные настройки сообщений. Назначьте конкретного человека и заменяющего, канал уведомлений, порядок эскалации и дату следующей проверки. Периодичность согласуйте с частотой изменений и допустимым простоем.
Типичная ситуация. У производителя фильтр начал блокировать вложения к запросу КП. Сканер не находил угроз, а менеджер перестал получать чертежи. Проверка пути заявки выявила правило блокировки; после узкого изменения повторили отправку и сверили получение.
Как проверить. В акте есть причина инцидента либо честная отметка «не установлена», перечень исправлений, повторный отчёт, результаты восстановления и доставки заявки. Если причина неясна, находки возвращаются или исполнитель предъявляет только зелёный значок плагина, нужен независимый технический разбор.
Типичная ошибка. Принять отсутствие предупреждения за полную проверку безопасности и работоспособности.
Что сказать подрядчику. «Покажите доказательства по каждому пункту, оставшиеся риски, владельца мониторинга и действия при повторном предупреждении».
Чек-лист приёмки для руководителя
- Вход в админку со вторым фактором и восстановление доступа владельцем.
- Восстановленный сайт в закрытой среде, с рабочим каталогом.
- Тестовый запрос КП, полученный менеджером.
- Доставленное уведомление и назначенный ответственный.
Непроверенные пункты внесите в акт с причиной и следующим действием. Порядок проверки и требования к подтверждениям описаны в статье «Аудит безопасности сайта: как проверить и принять работу».
Итог
Защита сайта от взлома требует регулярной работы: компоненты поддерживаются, резервное копирование проверено восстановлением, доступы принадлежат компании, формы передают обращения. Повторяйте проверку после изменений и разбирайте новые предупреждения с назначенным ответственным. После инцидента отдельно зафиксируйте устранённую причину либо оставшуюся неопределённость.
Получить аудит
Ссылки со значком ↗ ведут на сторонние сайты и открываются в новой вкладке.
Вопросы по теме
Что сделать сегодня, чтобы защитить сайт от взлома?
Проверьте предупреждения и доступы, назначьте ответственного. При подозрении на взлом сохраните состояние и поручите специалисту ограничение угрозы и очистку. Для профилактики проверьте восстановление копии, настройте отдельные доступы со вторым фактором и согласуйте обновления после испытания совместимости.
Достаточно ли установить защитный плагин на WordPress?
Нет. Нужны обновления, отдельные доступы, резервные копии и контроль хостинга. При подозрении на взлом дополнительно проверяют файлы, базу, пользователей и источник проникновения.
Если сканер ничего не нашёл, сайт безопасен?
Проверка подтверждает только отсутствие находок в исследованной области доступным методом. Сопоставьте её с предупреждениями поисковиков, списком пользователей, журналами и работой форм; отметьте непроверенные области.
Сертификат HTTPS защищает от вирусов?
HTTPS защищает передачу данных между браузером и сервером. Он не исправляет уязвимый модуль и не удаляет вредоносный код. Проверять нужно и соединение, и сам сайт.
Как принять работу подрядчика по защите сайта?
Запросите перечень изменений до и после, подтверждение обновлений, проверку входа, повторный отчёт и восстановление копии на тесте. Затем отправьте заявку с карточки продукта и проверьте получение менеджером. Зафиксируйте оставшиеся риски и ответственного за мониторинг.
