Минимальные права
Пользователю выдаётся только тот уровень, который нужен для работы.
WebSniper · Москва
Безопасность и защита сайта
Проверяем технические риски сайта и снижаем вероятность повторяющихся инцидентов: обновления, резервные копии, доступы, формы, SSL, подозрительные изменения и восстановительный план. Без обещаний «невзламываемости» — безопасность строится слоями.
02Раздел
Что входит в аудит безопасности сайта
Проверяем в пределах доступного проекта:
- версии CMS/PHP и компонентов;
- администраторские аккаунты и права;
- резервные копии;
- SSL;
- подозрительные файлы/изменения;
- формы и антиспам;
- открытые технические точки, которые не нужны проекту;
- базовое логирование;
- состояние обновлений;
- восстановительный сценарий.
03Раздел
Доступы — один из главных слоёв защиты
Отдельные учётные записи
Для каждого участника команды используем отдельную учётную запись вместо одного общего аккаунта администратора.
Сильные пароли и 2FA
Где система поддерживает двухфакторную аутентификацию, включаем дополнительный фактор защиты.
Удаление старых доступов
Уволенные сотрудники и бывшие подрядчики не должны сохранять административный доступ.
Безопасная передача
Пароли и токены не отправляются в открытые комментарии или публичные документы.
04Раздел
Устаревшие компоненты увеличивают риск
Контролируем:
- ядро CMS;
- плагины/модули;
- темы;
- PHP;
- внешние библиотеки;
- заброшенные расширения.
05Раздел
Резервная копия должна быть не просто «где-то включена»
Важно понимать:
- что копируется;
- как часто;
- где хранится;
- сколько версий остаётся;
- можно ли реально восстановиться;
- кто имеет доступ;
- когда копия последний раз проверялась.
06Раздел
Формы и публичные точки входа
Проверяем:
- серверную валидацию;
- антиспам;
- ограничение злоупотреблений там, где это уместно;
- безопасную обработку файлов;
- отсутствие лишнего вывода технических ошибок;
- корректные уведомления.
07Раздел
Нужно замечать подозрительные изменения
В зависимости от проекта можно использовать:
- контроль файлов;
- журналы ошибок;
- журнал входов/административных действий, если платформа поддерживает;
- уведомления о критичных событиях;
- сравнение с чистой версией после инцидента.
08Раздел
Безопасность WordPress
Отдельно проверяем:
- актуальность ядра и плагинов;
- ненужные темы/плагины;
- администраторские аккаунты;
- резервное копирование;
- права файлов/окружение в пределах хостинга;
- признаки вредоносных изменений.
09Раздел
Что делать, если инцидент всё же произошёл
Восстановительный план должен отвечать:
- Как быстро ограничить ущерб.
- Где взять чистую копию.
- Какие доступы сменить.
- Как найти причину заражения.
- Как проверить восстановленный сайт.
- Что мониторить после запуска.
10Раздел
Стоимость работ по безопасности
Цена зависит от CMS, размера проекта, количества сайтов, состояния обновлений, наличия заражения, серверного доступа и глубины требуемого аудита.
11Раздел
Вопросы о безопасности сайта
Можно гарантировать, что сайт больше не взломают?+
Нет. Можно снижать риски, закрывать найденные причины и иметь восстановительный план.
Аудит безопасности — это тест на проникновение?+
Не обязательно. Текущая услуга ориентирована на технический аудит и hardening; отдельный pentest требует отдельного согласования и специализированного scope.
Нужен ли security-плагин WordPress?+
Иногда полезен, но он не заменяет обновления, доступы, резервные копии и безопасную архитектуру.
Что если вирус уже есть?+
Тогда сначала нужна диагностика и лечение после взлома.
Восстановление сайта↗Нужно ли постоянно проверять сайт?+
Для критичных проектов регулярный контроль полезнее разового аудита; формат зависит от поддержки.
12Раздел
Начнём с текущего состояния сайта
Пришлите URL и опишите, что беспокоит: старые плагины, подозрительные изменения, спам из форм, прошлый взлом или отсутствие резервных копий.