Как защитить сайт от взлома: план для заказчика
Защита сайта от взлома начинается с порядка в доступах, обновлениях и резервных копиях. Проверить это можно своими силами, а часть работ заказать разработчику или поддержке. Так вы быстрее увидите слабые места и поймете, что спрашивать у подрядчика.
Основатель студии, в коммерческой разработке с 2016 года · Обновлено 1 ноября 2026
С чего начать защиту сайта
Взлом редко начинается с хитроумной атаки. Чаще злоумышленник пользуется тем, что осталось от прежних подрядчиков: старый аккаунт с правами администратора, забытая тестовая копия сайта, открытая панель управления. Начните с описи: где размещен сайт, на каком сервере он работает, кто имеет доступ к панели управления и к базе данных. Выпишите все аккаунты и сервисы, которые участвуют в работе.
Проверьте, где лежат резервные копии (копии файлов и базы, из которых сайт можно собрать заново) и кто может их восстановить. Если ответа нет, это первое, что нужно закрыть. Без рабочей копии любая ошибка или атака превращается в потерю данных.
Что настроить на сервере и в коде
Базовый набор выглядит так: обновления системы и библиотек ставятся вовремя, у каждого сотрудника свой аккаунт с минимальными правами (набором разрешений, без которых работа не идет), для входа в панель управления включена двухфакторная аутентификация (подтверждение входа кодом из приложения). Формы на сайте проверяют входные данные, иначе через них можно внедрить вредоносный код или заваливать сайт мусорными заявками. Соединение с посетителями защищено протоколом HTTPS, это шифрует пароли и данные форм по пути к серверу. Панель управления не должна открываться всему интернету: ограничьте доступ по IP-адресам (сетевым адресам, с которых разрешен вход) или спрячьте ее за отдельным входом. Журналы (записи о действиях и ошибках) должны храниться, иначе после инцидента не понять, что произошло.
Какие вопросы задать разработчику
Кому принадлежат домен, сервер и аккаунты в сервисах? Как передаются доступы при завершении работ? Где хранятся резервные копии и как проверяют их восстановление? Что происходит с безопасностью после запуска и кто следит за обновлениями? Ответы лучше получить письменно и до начала работ.
Отдельно спросите, как вы узнаете о взломе: кто смотрит журналы, есть ли оповещения о подозрительных входах. Хороший признак, когда подрядчик сам называет слабые места и предлагает порядок их закрытия.
Что делать, если сайт уже взломали
Сначала ограничьте доступ: смените пароли, закройте панель управления, при необходимости приостановите прием заявок. Не удаляйте файлы и не переустанавливайте сайт сразу, иначе потеряете следы, по которым находят точку входа. Восстановите сайт из резервной копии, снятой до взлома, и только потом разбирайтесь с причиной.
После восстановления проверьте все формы, обновления и права доступа, иначе атака повторится. Если сайт размещен на вашем сервере, доступы остаются у вас, подрядчик работает с ними по договору поддержки. Посчитать объем работ по защите и поддержке можно в калькуляторе на сайте, заявку оставляют в форме заказа.
Проверьте себя
- Список всех аккаунтов с доступом к сайту, серверу и домену составлен.
- Для входа в панель управления включена двухфакторная аутентификация.
- Резервные копии снимаются регулярно, восстановление проверено на практике.
- Обновления системы и библиотек ставятся по графику.
- Формы проверяют входные данные и защищены от мусорных заявок.
- Доступ к панели управления ограничен по IP-адресам.
- Журналы входа и ошибок хранятся, по ним можно разобрать инцидент.
- У вас есть письменные ответы подрядчика о доступах и копиях.
Частые вопросы
Можно ли защитить сайт один раз и навсегда?
Нет, защита это регулярная работа: обновления, проверка доступов, контроль резервных копий. Настроить можно основу, дальше ее нужно поддерживать.
Кто отвечает за безопасность сайта после запуска?
Тот, у кого есть доступы и договор на поддержку. Обычно это владелец продукта вместе с подрядчиком: сервер у вас, работы по поддержке ведет студия.
Хватит ли резервных копий вместо защиты?
Копии спасают от потери данных, но не мешают взлому. Их ценность в том, что сайт можно вернуть к рабочему состоянию.
Как понять, что сайт взломали?
В поиске появились чужие страницы, сайт перенаправляет на посторонние адреса, приходят письма о новых заявках или списаниях. Повод проверить журналы и файлы.
Что делать в первую очередь?
Сменить пароли, ограничить доступ к панели управления и восстановить сайт из копии, снятой до взлома. Дальше искать точку входа.
Читайте также
- Гайд Как не переплатить за поддержку сайта и что проверить в договоре Разберете, из чего складывается оплата поддержки сайта, какие работы включить в договор и как проверять отчеты подрядчика. Список проверок, вопросы исполнителю.
- Гайд Как организовать техподдержку сайта после запуска Как описать задачи, какие доступы передать и что спросить у подрядчика по поддержке сайта после запуска. Регламент обращений и отчеты.
- Гайд Передача проекта другому разработчику: что забрать и что отдать Что забрать у прежнего подрядчика и что отдать новому: доступы к серверу, домену, коду и аккаунтам, документы и проверка запуска после смены.
- Услуга Внедрение ИИ в бизнес: что получает компания и как идет работа Что дает ИИ компании: ассистент по базе знаний, разбор обращений и документов, генерация текстов, агенты в CRM. Что подготовить к старту и как идет работа.