Последнее обновление: 10 ноября 2026 г.
Безопасность сайта состоит из двух частей: серверной (работа хостинг-компании) и сайтовой (ваша работа). Если обе не в порядке, защита остаётся неполной. В этом руководстве мы объясняем обе стороны и что делать, если сайт взломали.
Что мы защищаем на сервере
- Firewall (iptables): открыты только нужные порты, несанкционированный доступ блокируется
- Fail2Ban: блокирует IP-адреса, делающие повторяющиеся неудачные попытки входа
- CSF: дополнительная сетевая защита и обнаружение сканирования портов
- ClamAV: проверяет файлы на вредоносные программы
- Автоматические обновления: патчи безопасности системы устанавливаются вовремя
- Резервное копирование: данные копируются регулярно
- Бесплатный SSL: ваш сайт работает по HTTPS
Для чего нужны SSL, резервные копии и firewall?
- SSL (HTTPS): шифрует данные между посетителем и сайтом. Важен для форм входа, платежей и контактных форм, предотвращает предупреждение браузера «небезопасно», а поисковые системы отдают предпочтение сайтам с HTTPS.
- Резервная копия: позволяет вернуть сайт в прежнее здоровое состояние после взлома, случайного удаления или неудачного обновления. Без копии восстановление порой невозможно.
- Firewall: фильтрует трафик, идущий на сервер, и блокирует подозрительные запросы.
Шаги, которые нужно сделать вам
- Используйте надёжные и разные пароли. Не применяйте один пароль везде, поможет менеджер паролей.
- Обновляйте WordPress, темы и плагины. Большая часть атак идёт через устаревшие плагины.
- Удаляйте неиспользуемые плагины и темы. Просто отключить их недостаточно.
- Включите двухфакторную аутентификацию для входа в админ-панель.
- Скачивайте плагины и темы только из надёжных источников. Держитесь подальше от взломанных («nulled») версий.
- Храните и собственную резервную копию, как минимум перед важными изменениями.
- Проверьте, что сайт перенаправляется на HTTPS.
Дополнительные правила для WordPress
- Не используйте «admin» в качестве имени пользователя.
- Установите плагин, ограничивающий попытки входа.
- Удаляйте неиспользуемые учётные записи, остальным давайте только нужную роль.
- Регулярно проверяйте файлы сайта через панель и сразу изучайте любой незнакомый файл.
Как понять, что сайт взломан?
- На сайте появились записи, ссылки или реклама, которые вы не размещали.
- В поиске Google заголовок или описание вашего сайта показывают странный текст.
- Посетителей перенаправляет на незнакомые сайты.
- Сайт внезапно стал медленным, или браузер показывает предупреждение.
- В панели хостинга видны незнакомые файлы или пользователи.
Что делать, если сайт взломан
- Сразу смените все пароли (панель, FTP, база данных, админ).
- Создайте тикет в службе поддержки, и мы проверим вместе.
- Восстановите сайт из чистой резервной копии и примените обновления.
- После восстановления обновите плагины и темы, а ненужные удалите.
Чек-лист безопасности
- На сайте работает HTTPS.
- Все пароли надёжные и разные.
- WordPress, темы и плагины обновлены.
- Двухфакторная аутентификация включена.
- Ежедневная резервная копия работает, а восстановление проверено.
- Ненужные плагины и пользователи удалены.
Правило резервного копирования 3-2-1
Чтобы резервные копии были надёжными, используйте простое правило «3-2-1»:
- 3 копии: работающий сайт и две резервные копии.
- 2 разных места: например, резервная копия хостинга и ваш собственный компьютер или облачное хранилище.
- 1 копия вне сервера: чтобы данные остались, даже если сервер будет полностью повреждён.
Периодически проверяйте и то, что копию действительно можно восстановить. Резервная копия, которую никогда не тестировали, ненадёжна.
Правила для паролей на практике
- Выбирайте пароль не короче 12–16 символов из букв, цифр и символов.
- Не используйте легко угадываемые данные: дату рождения, номер телефона, название компании.
- Используйте отдельные пароли для панели хостинга, FTP, базы данных, админки WordPress и почты.
- Храните пароли в менеджере паролей, а не в блокноте или мессенджере.
- Не отправляйте пароль никому, даже тому, кто пишет «из поддержки». Настоящая поддержка не просит пароль.
Фишинг и поддельные письма
Значительная часть атак нацелена не на сервер, а на человека. Поддельное письмо со срочным предупреждением вроде «ваш хостинг будет заблокирован» или «срок вашего домена истекает» отправляет вас на фальшивую страницу входа. Правила защиты: внимательно проверяйте адрес отправителя, наводите курсор на ссылку, чтобы увидеть реальный адрес до нажатия, проверяйте правильность адреса в браузере на странице входа и, если есть сомнения, заходите в кабинет напрямую, набрав адрес самостоятельно.
Права на файлы и защита админ-панели
- В WordPress оставляйте права на файлы 644, а на папки 755. Не выдавайте открытые для всех права вроде 777.
- Держите конфигурационные файлы (например,
wp-config.php) открытыми только на необходимом уровне. - Ограничьте попытки входа в админ-панель и удалите ненужные учётные записи.
- По возможности используйте шифрованное соединение (SFTP) вместо обычного FTP.
Ежемесячная рутина безопасности
- Установите все обновления (WordPress, темы, плагины).
- Проверьте, что резервное копирование работает, и раз в месяц проверяйте восстановление.
- Просмотрите список пользователей и удалите ненужные аккаунты.
- Откройте сайт с нескольких устройств и проверьте, нет ли необычного поведения, рекламы или перенаправлений.
- Проверьте даты окончания SSL-сертификата и домена.
Частые проблемы с SSL
- Смешанное содержимое: страница открывается по HTTPS, но некоторые изображения или скрипты загружаются по HTTP. Браузер показывает это предупреждением. Переведите все ссылки на HTTPS.
- Нет перенаправления с HTTP на HTTPS: сайт открывается по двум адресам, что плохо и для безопасности, и для поисковых систем.
- Адрес с www и без www: убедитесь, что оба входят в сертификат и перенаправляются друг на друга.
Часто задаваемые вопросы
Нужно ли делать резервные копии самому?
Да. Резервная копия хостинга — основной уровень защиты, но хранить собственную копию перед важными изменениями — самый надёжный способ.
Если SSL бесплатный, он хуже по качеству?
Нет. Бесплатный SSL шифрует данные на том же уровне. Бесплатный SSL входит в наши тарифы хостинга.
Достаточно ли отключить плагин?
Нет. Файлы отключённого плагина остаются на сервере и могут представлять риск. Неиспользуемый плагин нужно удалить полностью.
Как часто нужно делать резервные копии?
Для часто меняющихся сайтов (магазины, новостные сайты) желательны ежедневные копии, для редко меняющихся — еженедельные. Перед любым крупным изменением сделайте дополнительную копию.
В наших тарифах хостинга есть бесплатный SSL и ежедневное резервное копирование. По вопросам функций безопасности обращайтесь в поддержку. Если вы используете VPS, прочитайте также статью Что такое VPS-сервер о безопасности сервера.