Статья
Защита сайта: от взлома, ботов и DDoS-атак
Большинство сайтов взламывают не ради них самих: программы перебирают тысячи сайтов подряд и ищут старые версии систем управления, простые пароли и незащищённые формы. Поэтому защита — это прежде всего гигиена, а не дорогие сервисы. Разбираем, от чего защищаться, что сделать в первую очередь и как действовать, если сайт уже взломали.
От чего защищаться
| Угроза | Что происходит | Главная защита |
|---|---|---|
| Взлом | Через устаревшую систему управления, плагин или слабый пароль на сайт ставят вредоносный код, спам-страницы или переадресацию | Обновления, сильные пароли, вход с подтверждением |
| Боты и спам | Сотни фальшивых заявок, перебор паролей | Защита форм и ограничение частоты запросов |
| DDoS-атака | Сайт заваливают запросами, и он перестаёт открываться | Защита на стороне хостинга или специального сервиса |
| Парсинг | Боты копируют цены и тексты | Ограничение частоты запросов — полностью не остановить |
Что сделать в первую очередь
- Обновления. Система управления, плагины и темы — в актуальных версиях. Большинство взломов идёт через давно известные уязвимости.
- Пароли. Длинные, разные для каждого сервиса, в менеджере паролей. Для админки, хостинга, регистратора домена и почты — вход с подтверждением по коду.
- Минимум доступов. Только тем, кому они нужны, а у ушедших сотрудников и подрядчиков — отозвать.
- Защищённое соединение — о нём статья «SSL-сертификат для сайта».
- Резервные копии вне сервера сайта — подробно в статье «Бэкап сайта».
- Только проверенные плагины и модули — из официальных каталогов, а не из случайных архивов.
Боты в формах
- Капча работает, но раздражает людей и снижает число заявок.
- Без капчи ботов отсекают незаметно для человека: скрытым полем, которое заполняют только программы, проверкой времени заполнения, ограничением числа отправок с одного адреса и проверкой, что заявка пришла со страницы сайта.
Что ещё важно в форме заявки, разобрано в статье «Форма заявки на сайте».
DDoS-атаки
Небольшой сайт редко атакуют специально, но атаки случаются — от конкурентов или просто «за компанию». Защиту дают хостинги и специальные сервисы: они фильтруют поддельные запросы до того, как те дойдут до сайта. Заранее узнайте, что умеет ваш хостинг, и кому писать, если сайт перестал открываться.
Если сайт взломали
- Смените все пароли: хостинг, админка, регистратор домена, почта.
- Восстановите сайт из чистой резервной копии.
- Обновите всё и закройте уязвимость, через которую вошли, — иначе взлом повторится.
- Проверьте Яндекс Вебмастер и Search Console: в них есть разделы о безопасности, где видно, нашёл ли поисковик вредоносный код. После чистки сайта запросите перепроверку.
- Если могли утечь персональные данные клиентов, закон о персональных данных требует сообщить об этом в Роскомнадзор в течение суток. Что ещё проверить, есть в чек-листе по 152-ФЗ.
Как устроено у нас
Сайты мы делаем на коде, без готовых систем управления и плагинов к ним, через которые чаще всего и взламывают сайты. Форма заявки на нашем сайте защищена от ботов без капчи: сервер проверяет, что заявка пришла с нашей страницы, не даёт отправлять их пачками и отсеивает программы, которые заполняют форму мгновенно или видят скрытые поля. На поддержке во всех тарифах есть присмотр за доступностью сайта и резервные копии.