Взлом сайта — серьёзная угроза для любого бизнеса. Злоумышленники могут украсть данные клиентов, разместить вредоносный код, перенаправить трафик на мошеннические ресурсы или полностью удалить содержимое. Разбираем 10 правил, которые помогут защитить ваш сайт.
Почему сайты взламывают
Большинство взломов происходит не по заказу, а автоматически — боты сканируют интернет в поисках уязвимых сайтов. Типичные цели злоумышленников:
- Рассылка спама через ваш сервер
- Размещение фишинговых страниц
- Заражение посетителей вредоносным ПО
- Кража базы данных с персональными данными
- Использование сервера для DDoS-атак
10 правил безопасности
1. Обновляйте CMS и плагины
Устаревшее ПО — главная причина взломов. Обновления закрывают известные уязвимости. Настройте автоматические обновления или проверяйте наличие новых версий еженедельно.
2. Используйте сложные пароли
Минимум 12 символов: буквы в разных регистрах, цифры, спецсимволы. Не используйте один пароль для разных сервисов. Применяйте менеджер паролей.
3. Установите SSL-сертификат
SSL шифрует данные между сайтом и пользователем. Без него пароли и данные форм передаются в открытом виде. Подробнее — в статье Что такое SSL-сертификат.
4. Настройте права доступа к файлам
Файлы — 644, директории — 755, конфигурационные файлы — 600. Никогда не ставьте права 777.
5. Ограничьте доступ к админ-панели
Используйте двухфакторную аутентификацию, ограничьте доступ по IP-адресу, настройте защиту от перебора паролей (fail2ban или аналоги).
6. Делайте регулярные бэкапы
Автоматическое резервное копирование файлов и базы данных минимум раз в неделю. Храните копии в отдельном месте — не на том же сервере.
7. Удалите неиспользуемые плагины и темы
Каждый плагин — потенциальная точка входа. Удаляйте всё, что не используете, включая деактивированные плагины и неактивные темы.
8. Защитите базу данных
Измените стандартный префикс таблиц (wp_ для WordPress), используйте отдельного пользователя БД с минимальными правами, запретите удалённый доступ к MySQL.
9. Настройте мониторинг
Используйте инструменты мониторинга целостности файлов. Настройте уведомления об изменениях в критических файлах. Регулярно проверяйте сайт через сервисы вроде VirusTotal.
10. Выбирайте надёжный хостинг
Хороший хостинг обеспечивает изоляцию аккаунтов, защиту от DDoS, автоматические бэкапы и актуальные версии ПО. Подробнее о выборе хостинга читайте в статье Как выбрать хостинг для сайта.
Что делать, если сайт уже взломан
Если вы обнаружили признаки взлома — не паникуйте, но действуйте быстро:
- Заблокируйте доступ к сайту (поставьте заглушку)
- Смените все пароли (хостинг, FTP, база данных, админка)
- Восстановите сайт из чистого бэкапа
- Обновите CMS и все компоненты
- Проведите аудит безопасности
Если самостоятельно справиться не получается, мы предоставляем услугу исправления ошибок и восстановления сайтов после взлома.
Нужно защитить сайт или восстановить после взлома?
Проведём аудит безопасности, закроем уязвимости и настроим защиту от атак.