Коротко: Безопасность сайта — это дисциплина из 15 пунктов, а не антивирус. Ядро: обновления по расписанию, бэкапы с проверкой восстановления, сложные пароли с двухфакторкой, минимум плагинов, защита форм от спама и логи. Взламывают обычно не «гениальных хакеров», а сайты без присмотра.
База: то, что проверяется в первую очередь
- Обновления: ядро, тема, плагины — по расписанию, с бэкапом перед каждым крупным.
- Бэкапы: автоматически, в отдельное хранилище, с тестом восстановления раз в квартал.
- Пароли и 2FA: менеджер паролей, двухфакторка в админке, никакого admin/admin.
- Минимум плагинов: каждый плагин — чужой код с правами на сайт. Лишний — уязвимость на обслуживании.
- SSL и принудительный https.
Атака через формы и людей
- Антиспам на формах: honeypot + rate limit, капча — по необходимости.
- Ограничение попыток входа в админку.
- Разграничение ролей: контент-менеджер не должен уметь ставить плагины.
- Отзыв доступов уволившимся — в день увольнения, не «когда-нибудь».
Мониторинг и реакция
Доступность и целостность проверяются автоматически каждые пару минут: упал — уведомление, взломан — видно по изменениям файлов. Восстановление из бэкапа отрепетировано. Сайт, за которым следят, взламывают редко: автоматика сканирует в первую очередь брошенные.
Минимум, который нужно сделать сегодня
- Включить двухфакторную защиту для администратора сайта, хостинга и домена.
- Заменить слабые пароли на длинные уникальные и хранить их в менеджере паролей (как передавать доступы).
- Удалить лишних пользователей и неиспользуемые плагины и темы.
- Обновить ядро, темы и плагины, предварительно сделав резервную копию.
- Убедиться, что резервные копии создаются автоматически и хранятся отдельно от сайта.
- Проверить, что на домен и хостинг у вас есть доступ и что оформлены они на вас (почему это важно).
Признаки, что сайт могли взломать
- На сайте появились незнакомые страницы, ссылки или реклама.
- Посетители перенаправляются на сторонние сайты, особенно с телефонов.
- Поисковики или браузер предупреждают об опасности сайта.
- Резко выросла нагрузка на сервер или пришло письмо от хостинга о подозрительной активности.
- В админке появились незнакомые администраторы.
- Сайт отправляет спам с вашего адреса.
План действий при взломе
- Не паниковать и не удалять всё подряд. Сделайте копию текущего состояния для анализа.
- Закройте доступ: смените пароли администратора, хостинга, базы данных и почты.
- Свяжитесь с исполнителем или специалистом по безопасности.
- Восстановите сайт из чистой резервной копии, а не «лечите» на глаз.
- Найдите причину: уязвимый плагин, украденный пароль, устаревшая версия. Закройте её.
- Проверьте индексацию и репутацию сайта в поисковиках, при необходимости подайте заявку на повторную проверку.
- Если затронуты персональные данные, проверьте обязанности по уведомлению (про 152-ФЗ).
Регулярный мониторинг, обновления и резервные копии входят в сопровождение сайта (сколько стоит поддержка, услуга «Сопровождение»).
Частые вопросы
WordPress — уязвимая CMS?
Ядро — нет. Уязвимы свалки плагинов и брошенные установки. Чистая сборка с обновлениями — нормальная защита.
Достаточно ли плагина безопасности?
Плагин — часть. Дисциплина бэкапов, паролей и обновлений — основа. Плагин без бэкапов — ложное спокойствие.
Что делать, если уже взломали?
Не чистить руками «на глаз»: восстановление из чистого бэкапа + закрытие входа. Самостоятельные ковыряния оставляют двери.
Нужно ли использовать платный плагин безопасности?
Не обязательно. Основа безопасности это обновления, пароли, резервные копии, минимум плагинов и контроль доступов. Плагины защиты дополняют эти меры, но не заменяют их.
Как часто проверять безопасность?
Мониторинг доступности и целостности лучше автоматизировать. Полную проверку по чек-листу делайте раз в квартал и после любых значимых изменений на сайте.
Что делать дальше
Полезные страницы: Присмотр и защита сайта · Чек-лист запуска · Прайс.
Цены и сроки — в общем прайсе. Сложно выбрать — напишите в Telegram @darulev, отвечу лично.
