Как защитить сайт от взлома: разумный минимум

Зачем вообще ломать ваш сайт

Редко ради шантажа. Гораздо чаще — чтобы поставить спам-страницы, продающие чужой товар, встроить редирект на мошеннический ресурс или рассылать письма с вашего сервера. Вы об этом узнаёте, когда Chrome начинает показывать посетителям красный экран, а Яндекс снимает сайт с показов.

Шесть мер, которые закрывают большинство рисков

• Обновления. Движок и плагины — самая частая точка входа. Не обновляется — значит, дырявое.
• Меньше плагинов. Каждый лишний — ещё один чужой код на вашем сервере.
• Разные и длинные пароли к панели хостинга, FTP, админке и базе. Один пароль на всё — это один взлом на всё.
• Двухфакторка на хостинге и в админке, если движок умеет.
• Резервные копии с автоматическим расписанием и хранением вне сервера.
• Права на файлы без вседозволенности: 755 на папки, 644 на файлы.

Признаки, что сайт уже заражён

Что делать, если уже случилось

По порядку: снять копию текущего состояния для разбора, сменить все пароли, вычистить вредоносный код или развернуть чистую копию, закрыть дыру, через которую зашли, и только потом запросить перепроверку в Search Console и Вебмастере. Если пропустить четвёртый шаг, через неделю всё повторится.

Алексей Сафонов, whysafe

Фрилансер-разработчик с 2023 года: игры на Unity, Telegram-боты, сайты и автоматизация на Python. 149 отзывов на Kwork. Пишу о том, что делаю сам каждый день. Есть вопрос по статье? Напишите мне в Telegram, отвечу.