Безопасность сайта: как защитить от взлома — полное руководство 2026

Ваш сайт взломали. Вместо главной страницы — надпись «Hacked by Anonymous». Данные клиентов — в открытом доступе. А вы даже не знаете, как это произошло.

Звучит как сценарий фильма? Для 30 000 сайтов в день — это реальность. Каждый день в мире взламывают тысячи сайтов, и большинство владельцев узнают об этом слишком поздно.

Хорошая новость: 95% взломов можно предотвратить базовыми мерами безопасности.

От чего нужно защищаться

Базовые меры безопасности (обязательно для всех)

1. HTTPS (SSL-сертификат)

Шифрует данные между браузером и сервером. Без HTTPS пароли, платёжные данные и cookies передаются в открытом виде.

Как подключить:

• Бесплатный SSL: Let's Encrypt — подключается за 5 минут через панель хостинга
• Платный SSL: Comodo, DigiCert — для бизнеса с повышенными требованиями

Проверка: замочек в адресной строке браузера. Если его нет — бегите.

2. Сильные пароли и двухфакторная аутентификация (2FA)

80% взломов — из-за слабых паролей. «admin123» — это не пароль, а приглашение.

Правила:

• Минимум 12 символов, буквы + цифры + спецсимволы
• Уникальный пароль для каждого сервиса
• Используйте менеджер паролей: Bitwarden, 1Password, KeePass
• 2FA обязательно для админки, хостинга, домена, почты

3. Регулярные обновления

Устаревшая CMS, плагины, темы — главная причина взломов. Разработчики закрывают уязвимости в обновлениях. Не обновляете — остаётесь с дырой.

Правило: обновления — в течение 48 часов после выхода. Критические — в тот же день.

4. Резервное копирование (бэкапы)

Если сайт взломали — бэкап — ваш единственный способ быстро восстановиться.

Правила бэкапов:

• Ежедневно — автоматические бэкапы
• Храните отдельно — не на том же сервере (если сервер упал — бэкап тоже)
• Проверяйте восстановление — бэкап, который не восстанавливается, бесполезен
• Минимум 3 копии — правило 3-2-1: 3 копии, 2 типа носителей, 1 копия вне офиса

5. Ограничение попыток входа

Защита от брутфорса: блокировка после 5 неудачных попыток входа.

Для WordPress: плагины Wordfence, Limit Login Attempts. Для других CMS — аналоги или настройка на уровне сервера (fail2ban).

Защита от конкретных атак

SQL-инъекции

Атака: через форму ввода злоумышленник отправляет SQL-код вместо обычных данных.

Защита:

• Используйте подготовленные выражения (prepared statements) — параметризированные запросы
• Валидируйте все входные данные
• Минимальные права для пользователя БД (не root!)
• ORM (Sequelize, Prisma, Eloquent) — автоматически защищают от SQL-инъекций

XSS (межсайтовый скриптинг)

Атака: через комментарий или форму злоумышленник внедряет <script>, который выполняется у других пользователей.

Защита:

• Экранирование вывода — все пользовательские данные экранируются перед отображением
• Content Security Policy (CSP) — HTTP-заголовок, который запрещает выполнение сторонних скриптов
• Санитизация — очистка HTML перед сохранением (DOMPurify)

CSRF (межсайтовая подделка запроса)

Атака: пользователь заходит на злой сайт, который от его имени отправляет запрос на ваш сайт (например, перевод денег).

Защита:

• CSRF-токены — уникальный токен в каждой форме
• SameSite cookies — cookies не отправляются с чужих сайтов

DDoS-атаки

Атака: тысячи серверов одновременно отправляют запросы на ваш сайт, чтобы перегрузить его.

Защита:

• Cloudflare — фильтрует трафик, блокирует атаки (бесплатный тариф достаточно для малого бизнеса)
• Rate limiting — ограничение количества запросов с одного IP
• CDN — распределение трафика между серверами

Чек-лист безопасности сайта

Безопасность WordPress (самая атакуемая CMS)

43% сайтов в мире — на WordPress. Это делает его главной целью хакеров.

Дополнительные меры для WordPress:

• Удалите тему «Twenty Twenty» и другие неиспользуемые
• Не используйте плагин из непроверенных источников
• Измените префикс таблиц БД (не wp_, а x7k_)
• Отключите редактирование файлов из админки: define('DISALLOW_FILE_EDIT', true);
• Скройте версию WordPress из кода страницы
• Установите плагин безопасности: Wordfence, Sucuri, iThemes Security
• Ограничьте доступ к wp-admin по IP (если возможно)

Что делать, если сайт уже взломали

1. Не паникуйте. Действуйте по плану.
2. Отключите сайт. Переведите в режим обслуживания, чтобы не заражать посетителей.
3. Определите масштаб. Какие файлы изменены? Какие данные утекли?
4. Восстановите из бэкапа. Последняя чистая копия — до взлома.
5. Закройте уязвимость. Найдите, как злоумышленник проник, и закройте дыру.
6. Смените все пароли. Админка, FTP, хостинг, БД, почта.
7. Уведомите пользователей. Если данные клиентов утекли — вы обязаны сообщить (152-ФЗ, GDPR).
8. Настройте мониторинг. Чтобы в следующий раз узнать сразу.

Стоимость безопасности vs стоимость взлома

Безопасность — не «расход», а «инвестиция». Один взлом стоит в 10–100 раз больше, чем профилактика.

Итог

Безопасность сайта — не опция, а обязательная часть разработки. Начните с базового:

• HTTPS, сильные пароли, 2FA
• Обновления и бэкапы
• Подготовленные выражения и экранирование вывода
• Cloudflare и ограничение попыток входа

Это закроет 95% угроз. Остальные 5% — регулярный аудит и мониторинг.

Помните: вопрос не «взломают ли меня», а «когда попробуют». Будьте готовы.

Источники

• OWASP Top 10 — Главные угрозы веб-безопасности
• Cloudflare — What is a DDoS Attack
• Let's Encrypt — Бесплатные SSL-сертификаты
• Sucuri — Безопасность сайтов