Как сделать сайт безопасным?

Безопасность сайта держится на нескольких базовых вещах: свежие версии CMS и плагинов, сложные уникальные пароли у всех, кто имеет доступ к админке и хостингу, HTTPS-сертификат и регулярные резервные копии, которые хранятся отдельно от самого сервера. Большинство взломов происходит не через сложный целевой хак, а через известную дыру в устаревшем плагине, которую боты сканируют автоматически.

Страх что-то сломать обновлением понятен, но два года без обновлений - гораздо больший риск, чем сломанная тема после апдейта: уязвимости в старых версиях WordPress и плагинов публикуются открыто, и взломщики целенаправленно ищут сайты, которые их не закрыли. Правильный порядок - сначала сделать резервную копию сайта и базы данных, потом обновлять на тестовой копии сайта, а не на боевой версии, и только убедившись, что всё работает, накатывать обновление на прод.

Из практических шагов, которые снижают риск взлома заметнее всего:

• обновлять CMS, плагины и тему хотя бы раз в один-два месяца, а не откладывать на потом;
• поставить двухфакторную аутентификацию на вход в админку и ограничить число попыток входа;
• убрать неиспользуемые плагины и учётные записи бывших сотрудников - лишний доступ это лишняя дыра;
• настроить автоматические резервные копии с хранением за пределами того же сервера, чтобы при взломе или сбое было что восстанавливать.

Если сайт собирает персональные данные через формы, требования по защите этих данных прописаны и в 152-ФЗ - это отдельный слой поверх общей безопасности. Если самостоятельно навести порядок страшно или на сайте уже есть признаки взлома (незнакомые файлы, лишние администраторы, редиректы на чужие страницы), это повод обратиться к разработчику для аудита: чем дольше сайт стоит незащищённым, тем дороже потом обходится восстановление.