Безопасность сайта: 7 базовых мер, которые закрывают большинство угроз

Сайты малого бизнеса редко взламывают целенаправленно. Обычно это делают автоматические программы, которые круглосуточно перебирают тысячи сайтов в поисках типовых ошибок: стандартных паролей, устаревшего ПО, открытых служебных страниц. Хорошая новость: от таких атак защищает базовая гигиена.

1. Регулярные обновления

Операционная система сервера, веб-сервер, PHP, фреймворк и библиотеки должны своевременно получать обновления безопасности. Исправления безопасности системных пакетов можно устанавливать автоматически, а обновления самого сайта — плановыми работами с проверкой.

2. Доступ к серверу только по ключам

Вход на сервер по SSH должен выполняться по криптографическим ключам, а вход по паролю — быть отключён. Прямой вход под суперпользователем root тоже стоит запретить: администратор входит под обычной учётной записью и повышает права только при необходимости. Это лишает смысла постоянный подбор паролей ботами.

3. Режим отладки выключен

Во время разработки сайт показывает подробные сообщения об ошибках с фрагментами кода и путями на сервере. На рабочем сайте этот режим должен быть выключен: иначе любая ошибка подсказывает злоумышленнику устройство системы. Это одна из самых частых ошибок при запуске.

4. Надёжные и уникальные пароли к админ-панели

Никаких стандартных паролей, никаких общих учёток на всю команду. У каждого пользователя — свой длинный пароль, хранящийся в менеджере паролей, и права только на нужные разделы. Тестовые и демонстрационные учётные записи не должны иметь административных прав без необходимости.

5. HTTPS и защитные заголовки

Сайт должен работать только по HTTPS с автоматически продлеваемым сертификатом, а HTTP-запросы — перенаправляться на защищённую версию. Дополнительно настраиваются заголовки безопасности, запрещающие, например, встраивание сайта в чужие страницы.

6. Минимальные права на файлы и открытые порты

Файл с настройками и секретными ключами должен быть доступен только тем процессам, которым он нужен. На сервере включается файрвол, а наружу открываются только необходимые порты — как правило, веб-сервер и SSH.

7. Резервные копии вне сервера

Даже при идеальной защите остаётся риск сбоя оборудования или ошибки. Ежедневные зашифрованные копии, хранящиеся вне основного сервера, позволяют восстановиться в любой ситуации.

Итого

Эти семь мер не требуют дорогих решений, но закрывают подавляющее большинство реальных угроз для сайта малого и среднего бизнеса. Их стоит заложить при запуске и периодически проверять — например, в рамках планового технического обслуживания.