Безопасность сайта: резервные копии, пароли, обновления
Многие владельцы небольших сайтов уверены, что их проект никому не интересен и взламывать его не будут. Это опасное заблуждение. Большинство атак проводится автоматически: программы сканируют интернет в поисках уязвимых сайтов, не разбирая, крупный это портал или скромный блог. Взломанный сайт могут использовать для рассылки спама, размещения вредоносного кода, скрытых ссылок или фишинговых страниц. Последствия — потеря позиций в поиске, блокировка хостингом, утрата доверия посетителей. Разберёмся, как защититься.
Почему взламывают сайты
Цели злоумышленников разнообразны:
- размещение скрытых ссылок для продвижения других сайтов;
- распространение вредоносных программ через заражённые страницы;
- рассылка спама с вашего сервера;
- фишинг — размещение поддельных страниц для кражи данных;
- кража данных пользователей, если они хранятся на сайте;
- использование ресурсов сервера для собственных нужд;
- вымогательство — шифрование данных с требованием выкупа.
Для автоматических атак не важно, насколько популярен сайт. Важно лишь, есть ли в нём уязвимости.
Надёжные пароли
Слабые пароли — одна из главных причин взломов. Программы перебирают тысячи комбинаций в секунду, и простой пароль поддаётся за минуты.
Правила надёжного пароля:
- Длина — не менее двенадцати символов, лучше больше.
- Сочетание заглавных и строчных букв, цифр, специальных символов.
- Отсутствие словарных слов, имён, дат рождения.
- Уникальность — свой пароль для каждого сервиса.
- Регулярная смена паролей к важным доступам.
Для хранения паролей используйте менеджер паролей. Он генерирует сложные пароли и запоминает их, а вам нужно помнить только один главный пароль.
Двухфакторная аутентификация
Двухфакторная аутентификация добавляет второй уровень защиты: кроме пароля, нужно ввести код из приложения или сообщения. Даже если пароль украдут, без второго фактора злоумышленник не войдёт. Включите её везде, где это возможно: на хостинге, у регистратора домена, в панели сайта, в почте.
Обновления
Уязвимости в программном обеспечении обнаруживают постоянно. Разработчики выпускают обновления, которые их закрывают. Если вы не обновляетесь, ваш сайт остаётся уязвимым для известных атак.
Что нужно обновлять:
- систему управления контентом;
- темы оформления;
- расширения и плагины;
- серверное программное обеспечение, если вы управляете сервером сами.
Перед обновлением делайте резервную копию. Иногда обновления конфликтуют друг с другом, и сайт может перестать работать. Копия позволит быстро откатиться.
Удаление лишнего
Каждое расширение, тема и скрипт — потенциальная точка входа для злоумышленника. Удаляйте всё, чем не пользуетесь: неактивные плагины, старые темы, тестовые файлы, резервные копии в публичных папках. Особенно опасны заброшенные расширения, которые давно не обновляются разработчиками.
Скачивайте темы и расширения только из официальных источников. «Бесплатные» версии платных продуктов с сомнительных сайтов часто содержат вредоносный код.
Резервные копии
Резервное копирование — главная страховка. Если сайт взломают, сломают обновлением или вы сами случайно удалите что-то важное, копия позволит восстановить всё за минуты.
Правила резервного копирования:
- регулярность — частота зависит от того, как часто меняется сайт; для активного блога — ежедневно, для визитки — еженедельно;
- полнота — копируйте и файлы, и базу данных;
- хранение в нескольких местах — не только на том же сервере, но и во внешнем хранилище;
- проверка — периодически восстанавливайте сайт из копии на тестовом сервере, чтобы убедиться, что копии рабочие;
- глубина хранения — храните несколько копий за разные даты, ведь заражение могло произойти давно.
Многие хостинги делают резервные копии автоматически, но полагаться только на них не стоит. Делайте и собственные копии.
Защищённое соединение
Сертификат безопасности шифрует данные, передаваемые между браузером посетителя и сервером. Без него пароли, данные форм и другая информация передаются в открытом виде и могут быть перехвачены. Сегодня защищённое соединение — обязательный стандарт. Браузеры помечают сайты без него как небезопасные, а поисковики учитывают наличие сертификата при ранжировании.
Бесплатные сертификаты предоставляет большинство хостингов. После подключения настройте перенаправление всех запросов на защищённую версию сайта.
Ограничение доступа
- Права пользователей. Каждый пользователь сайта должен иметь только те права, которые нужны для его работы. Автору статей не нужны права администратора.
- Ограничение попыток входа. Блокировка после нескольких неудачных попыток защищает от перебора паролей.
- Изменение стандартного адреса входа. Для популярных CMS адрес панели администратора всем известен. Его изменение отсекает часть автоматических атак.
- Ограничение доступа к служебным файлам. Настройки сервера могут запрещать доступ к конфигурационным файлам и служебным папкам.
- Блокировка нежелательных ботов. Правила на сервере позволяют отсекать запросы от известных сканеров и парсеров.
Мониторинг
Как узнать, что сайт взломан? Признаки:
- поисковики показывают предупреждение об опасности сайта;
- хостинг сообщает о подозрительной активности;
- на сайте появились незнакомые страницы, ссылки, перенаправления;
- резко выросла нагрузка на сервер;
- посетители жалуются на странное поведение сайта;
- в панели вебмастеров появились сообщения о проблемах безопасности.
Подключите сервисы мониторинга доступности и регулярно проверяйте панели вебмастеров поисковых систем. Чем раньше вы обнаружите проблему, тем легче её устранить.
Безопасность форм и данных посетителей
Если на сайте есть формы обратной связи, подписки или регистрации, позаботьтесь о защите данных, которые оставляют посетители. Используйте защиту от спам-ботов, не храните на сервере больше информации, чем нужно, ограничьте доступ к заявкам. Обязательно разместите политику конфиденциальности и получайте согласие на обработку персональных данных — это и требование закона, и знак уважения к посетителям.
Что делать при взломе
- Не паникуйте и не удаляйте всё подряд.
- Смените все пароли: хостинг, панель сайта, база данных, почта.
- Сообщите хостингу — поддержка может помочь найти и устранить заражение.
- Восстановите сайт из чистой резервной копии, сделанной до заражения.
- Обновите все компоненты сайта.
- Найдите и устраните уязвимость, через которую произошёл взлом.
- Проверьте сайт в панелях вебмастеров и запросите повторную проверку, если поисковики пометили его как опасный.
Если не уверены в своих силах, обратитесь к специалистам по безопасности.
Итог
Безопасность сайта — это не разовое действие, а постоянная привычка. Используйте надёжные уникальные пароли и двухфакторную аутентификацию, регулярно обновляйте все компоненты, удаляйте лишнее, делайте резервные копии и храните их в нескольких местах. Подключите защищённое соединение, ограничьте доступ и следите за состоянием сайта. Эти меры не требуют больших затрат, но защищают от большинства угроз.