Безпека сайту: як захистити сайт від злому і що робити, якщо його зламали

Більшість сайтів зламують не хакери, які полюють саме на вас, а автоматичні скрипти. Вони цілодобово перебирають мільйони сайтів у пошуках застарілого плагіна, слабкого пароля чи відкритої адмінки. Тому захист сайту від злому — це передусім дисципліна: оновлення, доступи, резервні копії. Більшість атак зупиняє базовий рівень, який може проконтролювати власник без технічних знань.

Нижче — від чого найчастіше зламують сайти, чекліст захисту для бізнесу, як зрозуміти, що сайт уже зламано, і що робити в перші години.

Чому зламують звичайні сайти компаній

Невеликий корпоративний сайт здається нецікавою ціллю, але зломщикам потрібні не ваші дані, а ваш сервер і ваша репутація в Google. Зламаний сайт використовують, щоб:

• розміщувати спам-сторінки — казино, ліки, підробки — і просувати їх за рахунок вашого домену;
• перенаправляти відвідувачів на шахрайські сайти;
• розсилати спам з вашого сервера;
• красти дані з форм: контакти, а в магазинах — платіжну інформацію.

Для сайтів на WordPress, найпоширенішій системі керування, картину добре видно з цифр. За даними звіту Patchstack, 2024 року в екосистемі WordPress знайшли 7 966 нових вразливостей. 96% з них — у плагінах, 4% — у темах, а в самому ядрі WordPress лише сім, і жодна не була масовою загрозою. Тобто головний ризик — не WordPress як такий, а кількість і якість плагінів та теми.

Основні загрози простими словами

Повніший перелік типових вразливостей вебзастосунків веде міжнародна спільнота OWASP Top 10 — це стандартний орієнтир для розробників.

Чекліст захисту сайту для власника бізнесу

Вам не потрібно розбиратися в серверах, але варто знати, що з цього списку на вашому сайті вже є. Спитайте підрядника по кожному пункту.

1. Резервні копії. Автоматичні, щодня або щотижня, файли й база даних. Зберігаються окремо від сайту — не на тому самому сервері. І головне: хтось хоча б раз перевірив, що з копії справді можна відновити сайт.
2. Оновлення. Система керування, тема й плагіни оновлюються регулярно, а не «колись». Непотрібні плагіни видалені, а не просто вимкнені.
3. Доступи. У кожного, хто працює з адмінкою, свій обліковий запис з мінімально потрібними правами. Немає спільного логіна «admin» на всю команду. Колишні співробітники й підрядники відключені.
4. Двофакторна автентифікація для всіх адміністраторів сайту, хостингу й реєстратора домену.
5. HTTPS на всіх сторінках. SSL-сертифікат шифрує дані між відвідувачем і сайтом. Без нього браузер показує попередження, а форми передають дані відкритим текстом.
6. Захист від ботів і атак. Файрвол вебзастосунків (WAF) і CDN фільтрують підозрілий трафік до того, як він дійде до сайту.
7. Моніторинг. Сервіс, який повідомить, якщо сайт перестав відкриватися, і підключений Google Search Console — він попереджає про виявлені проблеми безпеки.
8. Домен і хостинг оформлені на компанію, а доступи до них зберігаються у вас, а не лише в підрядника.

Офіційні рекомендації з посилення захисту WordPress є в документації WordPress.

Чому готові теми й плагіни — головний ризик

Зломи рідко бувають «ручними». Автоматичні скрипти шукають сайти з конкретною вразливою версією популярної теми чи плагіна, і чим популярніший продукт, тим більше сайтів під ударом одночасно. Шаблонний сайт із тридцятьма плагінами — це тридцять чужих продуктів, за оновленнями кожного з яких треба стежити.

Ми робимо сайти на WordPress без готових тем і конструкторів сторінок і ставимо тільки ті плагіни, без яких не обійтися. Це не робить сайт невразливим — такого не буває, — але різко зменшує кількість чужого коду, від якого залежить ваша безпека. Той самий підхід робить сайт швидшим, про що ми писали в статті про швидкість завантаження сайту.

Як зрозуміти, що сайт зламали

Злом часто не видно на головній сторінці. Тривожні ознаки:

• у Google з’явилися сторінки вашого сайту з чужими темами — перевірте запитом site:вашсайт.ua;
• Search Console показує повідомлення у звіті «Проблеми безпеки»;
• браузер або Google попереджає відвідувачів, що сайт небезпечний. Статус домену можна перевірити в Google Safe Browsing;
• відвідувачів з телефонів або з пошуку перекидає на інші сайти, хоча у вас самих усе відкривається нормально;
• в адмінці з’явилися невідомі користувачі, а хостинг повідомляє про розсилку спаму чи незвичне навантаження.

Що робити, якщо сайт зламали

1. Не видаляйте нічого поспіхом. Спершу зробіть копію поточного стану: вона знадобиться, щоб знайти, як саме зайшли зломщики.
2. Повідомте хостинг і, якщо є, увімкніть посилений режим захисту в CDN.
3. Змініть усі паролі: адмінка, хостинг, база даних, FTP, пошта, реєстратор домену. Видаліть невідомих користувачів.
4. Відновіть сайт із чистої резервної копії, зробленої до злому, і одразу оновіть усе, що оновлюється.
5. Знайдіть і закрийте точку входу. Якщо цього не зробити, сайт зламають знову тим самим способом — часто вже за кілька днів.
6. Попросіть Google перевірити сайт повторно через звіт «Проблеми безпеки» в Search Console, щоб прибрати попередження для відвідувачів.
7. Якщо витекли дані клієнтів, оцініть, кого це стосується, і повідомте їх. Обробка персональних даних в Україні регулюється Законом «Про захист персональних даних». Про серйозні кіберінциденти можна повідомити CERT-UA.

Безпека — це процес, а не налаштування при запуску

Сайт, захищений на момент запуску, через рік без оновлень стає вразливим: у плагінах знаходять нові діри щодня. Тому домовтеся заздалегідь, хто відповідає за оновлення й резервні копії після запуску — ваша команда, студія чи хостинг, — і як швидко ця людина реагує, якщо щось сталося.

Якщо сайт уже старий, на застарілій темі й з десятками плагінів, латати його іноді дорожче, ніж оновити. Як зрозуміти, що час на редизайн, розбираємо в статті як зрозуміти, що сайт застарів.