Защита сайта от взлома перестала быть задачей "на потом". По данным мониторинга студии за 2024-2025 годы, средний корпоративный сайт в СПб получает 1 200-3 800 попыток несанкционированного доступа в месяц. Большинство атак автоматические: боты сканируют интернет, ищут устаревший WordPress, открытые админки, незакрытые формы. Цена ошибки - чистка от вирусов (40-120 тыс. рублей), штраф по 152-ФЗ за утечку ПДн (от 3 миллионов), потеря позиций в Яндексе на 3-6 месяцев.
Чек-лист собран по 550+ проектам веб-студии Сайты2.рф из Кронштадта (СПб). С 2008 года сопровождаем сайты клиентов в Санкт-Петербурге, Гатчине, Выборге, Всеволожске, Тосно. NPS 9,2 на технической поддержке - результат профилактической безопасности. Внутри: топ-7 векторов атак, 14 правил защиты, что входит в комплект технической поддержки сайтов.
Топ-7 векторов атак на сайт
Понимание угроз - первый шаг к защите. Ниже семь способов, которыми ломают сайты малого и среднего бизнеса. По нашим инцидентам за 2024-2025 годы на них приходится 92% взломов.
1. SQL-инъекции
Атакующий передаёт в форму или URL вредоносный SQL-код. Если сайт не валидирует ввод, запрос исполняется в базе данных: можно прочитать таблицу пользователей, получить хэши паролей, удалить записи. Чаще всего находят в самописных движках, старых версиях OpenCart, ModX, кастомных PHP-скриптах.
2. XSS (межсайтовый скриптинг)
В комментарии, отзыв, поле профиля внедряется JS-скрипт. Когда другой пользователь открывает страницу, скрипт исполняется в его браузере: ворует куки, перехватывает сессию, перенаправляет на фишинговый сайт. Опасен в админ-панели: одна XSS-уязвимость = захват аккаунта администратора.
3. Brute force (перебор паролей)
Боты перебирают пары "логин-пароль" на странице /wp-admin/, /bitrix/admin/, /administrator/. Стандартные admin/admin или admin/123456 ломаются за секунды. Без ограничения на количество попыток за минуту - вопрос времени, когда сайт окажется в чужих руках.
4. Устаревшие версии CMS и плагинов
90% массовых взломов 2024-2025 годов шли через известные уязвимости в старых версиях WordPress, Joomla, Bitrix. После публикации патча у атакующих есть 24-72 часа форы: пока админы не обновились, боты массово сканируют интернет в поисках уязвимых установок. Про апдейты подробно в материале обновление CMS без падения.
5. Слабые пароли и общие учётки
Один пароль на 5 сервисов, пароль типа "Сайт2024", общая учётка "manager" на 3 человека. Любая утечка со стороннего сервиса (форум, магазин, почта) даёт злоумышленнику ключ к админке. По статистике студии 31% инцидентов - компрометация учётных данных.
6. Незакрытые API и точки доступа
REST API без авторизации, открытый GraphQL, доступ к /wp-json/wp/v2/users/ без ограничений. Через такие эндпоинты атакующий выгружает список пользователей, узнаёт логины, начинает целевой брутфорс. Часто остаются после неполной миграции с другой CMS.
7. Открытые админки и служебные файлы
.git/, .env, backup.zip, phpinfo.php, info.txt в корне сайта. Кажется мелочью, но достаточно одного открытого .env с паролем от базы данных, и сайт под контролем атакующего. Сканеры находят такие файлы за минуты после публикации.
14 правил защиты сайта от взлома
Минимальный набор мер, который закрывает большинство угроз. Применяем к проектам клиентов на этапе разработки и в технической поддержке. Защита сайта от взлома строится на этих 14 принципах.
1. SSL-сертификат и принудительный HTTPS
Без шифрования трафика любой пароль и cookie перехватывается в открытом Wi-Fi. SSL обязателен для всех сайтов с 2018 года, бесплатные сертификаты Let's Encrypt автоматически продлеваются. Подробнее - в материале SSL-сертификат для сайта. Принудительный редирект с HTTP на HTTPS настраивается в .htaccess или nginx.
2. Регулярные обновления CMS, ядра и плагинов
Раз в 2 недели проверять обновления CMS, тем и плагинов. Критические патчи безопасности - в течение 24 часов. Старые неподдерживаемые плагины удалить или заменить активно поддерживаемыми. Перед обновлением - бэкап, обкатка на staging-копии. Регламент - в гайде обновление CMS без падения.
3. Двухфакторная аутентификация админки
Любой вход в админ-панель - через одноразовый код из Google Authenticator или SMS. Для Bitrix, WordPress, Joomla есть готовые модули. Один пароль больше не открывает доступ: даже компрометация не даёт войти без второго фактора.
4. Веб-фаервол (WAF)
Cloudflare, BitNinja, ModSecurity, Imunify360. WAF фильтрует трафик до того, как он дойдёт до сайта: режет ботов, SQL-инъекции, XSS-попытки, паттерны brute force. Базовая защита Cloudflare бесплатна, корпоративная Imunify360 - 350-900 ₽/мес на сайт.
5. Серверный фаервол и ограничение портов
На уровне VPS - iptables или ufw. Открыты только 80, 443 (web) и нестандартный порт SSH. Стандартный 22-й порт - под постоянной атакой ботов. Перенос SSH на 22022 или 33022 сразу снижает поток попыток в 50-100 раз.
6. Регулярные бэкапы по правилу 3-2-1
Три копии данных, на двух разных носителях, одна копия - вне основного сервера. Минимум - ежедневные инкрементные бэкапы, еженедельные полные, ежемесячные на холодное хранилище. Проверять восстановление раз в квартал. Подробно про настройку в материале бэкап сайта.
7. Ограничение прав доступа
Принцип минимальных привилегий: контент-менеджер не имеет прав на установку плагинов, бухгалтер не имеет доступа к коду. В WordPress - роли Editor/Author/Contributor вместо Administrator. В Bitrix - тонкая настройка прав по модулям. Каждый сотрудник - своя учётка, общих логинов нет.
8. Защита форм через reCAPTCHA или аналоги
Каждая публичная форма (обратная связь, регистрация, комментарии) - с защитой от ботов. Google reCAPTCHA v3 работает невидимо, не раздражает пользователей. Российская альтернатива - Yandex SmartCaptcha. Без капчи спам-боты заваливают почту, нагружают сервер.
9. Мониторинг 24/7
Алерты на: подозрительные изменения файлов, всплеск нагрузки, попытки входа с неизвестных IP, изменение конфигов. Сервисы: Wordfence, Sucuri, отечественный StaffCounter. На поддержке студии - собственный мониторинг плюс ежедневная сводка по каждому сайту.
10. Регулярный аудит логов
Логи nginx/Apache, логи CMS, логи доступа к админке. Раз в неделю - просмотр на аномалии: неудачные попытки входа, странные User-Agent, обращения к несуществующим путям. Час в неделю на аудит экономит десятки часов на восстановлении после инцидента.
11. Content Security Policy (CSP) заголовки
CSP ограничивает, откуда сайт подгружает скрипты, стили, картинки, фреймы. Правильно настроенный CSP блокирует попытку выполнения вредоносного JS, даже если XSS-уязвимость уже эксплуатируется. Дополнительно - заголовки X-Frame-Options, X-Content-Type-Options, Strict-Transport-Security.
12. Отказ от устаревших и подозрительных плагинов
Плагин не обновлялся 2+ года - кандидат на удаление. Плагин с менее чем 1 000 установок - проверять разработчика и историю. Часто атаки идут через цепочку поставок: легальный плагин выкупают, пушат обновление с бэкдором. Список плагинов на сайте - меньше = безопаснее.
13. Тестирование на проникновение
Раз в год - заказной пентест на средние и крупные сайты. Для малого бизнеса - автоматизированные сканеры: OpenVAS, OWASP ZAP, отечественный MaxPatrol. Дополнительно - проверка через бесплатный инструмент аудита сайта от студии. Уязвимость лучше найти самим, чем получить через атаку.
14. План реагирования на инцидент
Документ из 7 шагов: кто отключает сайт, кто разворачивает бэкап, кто меняет пароли, кто уведомляет РКН (срок - 24 часа по 152-ФЗ), кто пишет клиентам. Без плана инцидент превращается в хаос. С планом - 2-4 часа на полное восстановление.
Что в комплекте поддержки студии
В технической поддержке сайтов Сайты2.рф клиенты получают защиту от взлома "под ключ". Тарифы и состав - на странице цен студии.
Базовый пакет включает:
- Установка и продление SSL-сертификата.
- Ежедневные автоматические бэкапы (хранение 30 дней).
- Обновления CMS и критичных плагинов в течение 48 часов.
- Базовый WAF (Cloudflare Free + правила nginx).
- 2FA для админ-панели и панели хостинга.
- Ежемесячный отчёт по логам и попыткам атак.
Расширенный пакет добавляет:
- Корпоративный WAF (Imunify360 или аналог).
- Антивирусное сканирование файлов раз в сутки.
- Мониторинг доступности и нагрузки 24/7 с SMS-алертами.
- Ежеквартальный аудит безопасности.
- Регламент реагирования на инцидент с SLA 2 часа.
- Подготовка к проверкам РКН по 152-ФЗ.
За 11 лет работы (с 2008 года) у клиентов на расширенной поддержке - ни одного успешного взлома с потерей данных. 92% повторных обращений - за продление поддержки. Это и есть доказательство, что система работает.
Сколько стоит защита и восстановление
Цены на 2026 год по проектам студии для бизнеса в СПб и ЛО. Цифры зависят от размера сайта, использованной CMS, объёма базы данных.
Профилактика (комплект защиты сайта от взлома):
- Базовый аудит безопасности + чек-лист: 12 000-25 000 ₽ единоразово.
- Внедрение 14 правил защиты: 35 000-80 000 ₽ единоразово.
- Базовая поддержка (защита + бэкапы): от 6 000 ₽/мес.
- Расширенная поддержка (защита + мониторинг): от 18 000 ₽/мес.
Восстановление после взлома:
- Экспресс-чистка от вирусов: 25 000-45 000 ₽.
- Полное восстановление с миграцией на безопасный хостинг: 60 000-150 000 ₽.
- Восстановление позиций в Яндексе после санкций: от 80 000 ₽ + 4-12 месяцев.
Разница в 2-4 раза. Профилактика дешевле. Если сайт уже взломали - читайте материал восстановление сайта после взлома, мы готовы помочь по +7 (812) 942-47-44.
FAQ
Какие признаки того, что сайт взломан?
Редирект на чужие домены, реклама на страницах без вашего ведома, посторонние ссылки в подвале, всплеск трафика на 404-страницы, предупреждение Яндекса/Google в выдаче, жалобы клиентов на спам с вашего адреса.
Достаточно ли SSL для защиты сайта?
Нет. SSL шифрует трафик между браузером и сервером, но не защищает от SQL-инъекций, XSS, брутфорса админки, устаревших плагинов. SSL обязателен, но это один из 14 пунктов чек-листа, а не вся защита.
Можно ли защитить сайт на Tilda или Wix?
Базовая защита на стороне платформы есть: SSL, серверный фаервол, регулярные обновления ядра. Минусы - вы не контролируете хостинг, бэкапы зависят от платформы, защита от целевых атак ограничена возможностями тарифа. Ограничения подробно - в материале ограничения Tilda.
Как часто нужно обновлять CMS?
Минорные обновления безопасности - в течение 48 часов после релиза. Мажорные версии - через 2-4 недели после релиза, когда плагины адаптируются. Перед обновлением обязателен бэкап и обкатка на копии.
Что делать, если получил уведомление РКН о возможной утечке?
В течение 24 часов уведомить РКН встречно (отчёт об инциденте), за 72 часа - полное расследование. Параллельно - изолировать сайт, поднять бэкап, сменить все пароли, провести аудит. Без юриста по 152-ФЗ не обойтись - штраф за неуведомление до 3 миллионов рублей.
Сколько стоит взлом сайта в среднем?
Прямой ущерб (чистка + восстановление): 40-150 тыс. рублей. Косвенный (потеря позиций в Яндексе, репутация, отток клиентов, штраф 152-ФЗ): 200 тыс. - 3 миллиона рублей. У одного нашего клиента в Гатчине взлом интернет-магазина обошёлся в 480 тысяч с учётом простоя 6 дней.
Подходит ли бесплатный Cloudflare для защиты сайта?
Для базовой защиты - да, закрывает 80% автоматических атак. Для серьёзного бизнеса (магазин, медцентр, юрфирма) нужен корпоративный WAF плюс серверный фаервол. Cloudflare Free - первая линия, не последняя.
Что в итоге
Защита сайта от взлома - не одно действие, а система из 14 правил: SSL, обновления, 2FA, WAF, бэкапы, мониторинг, аудит логов, CSP-заголовки, план реагирования. Закрывает 90%+ угроз. Стоит дешевле любого восстановления и в десятки раз дешевле штрафов по 152-ФЗ. Профилактика выгоднее реакции.
Студия Сайты2.рф из Кронштадта (СПб) с 2008 года сопровождает корпоративные сайты, магазины и B2B-каталоги в Санкт-Петербурге и Ленинградской области: Гатчина, Выборг, Сосновый Бор, Всеволожск, Тосно, Кировск, Луга, Колпино, Пушкин. 550+ проектов, NPS 9,2, средний рост заявок x2,4. Звоните +7 (812) 942-47-44, пишите в Telegram @t9424744, MAX @sites2rf или на 9424744@gmail.com. Адрес: Кронштадт, ул. Карла Либкнехта 15б/6. Рассчитаем стоимость защиты сайта за 1 рабочий день.
