Безопасность сайта на CMS: чек-лист владельца на один вечер

Взломанный сайт редко выглядит как в кино. Чаще он продолжает работать, а в нем тихо появляются чужие ссылки, перенаправления на посторонние страницы или рассылка спама с вашего сервера. Владелец узнает об этом от клиентов или из письма поисковой системы или еще хуже. Предотвратить такое дешевле, чем разбираться с последствиями.

Откуда приходит угроза

OWASP, организация, ведущая реестр основных рисков веб-приложений, выделяет отдельным пунктом уязвимые и устаревшие компоненты. Риск возникает, если вы не знаете, какие версии используете, если ПО устарело или больше не поддерживается, и если нет плана регулярного применения обновлений.

Для сайта на CMS это означает: система, модули, плагины, шаблон, библиотеки скриптов. Каждый элемент может содержать дыру, о которой уже известно.

CISA, американское агентство по кибербезопасности, ведет каталог уязвимостей, которые уже используют злоумышленники, и рекомендует брать его за основу при определении, что устранять в первую очередь. Практический вывод: если для вашего компонента вышло исправление безопасности, его откладывать не стоит.

Чек-лист на один вечер

0. Если есть подрядчик или штатный специалист

Если у вас есть подрядчик или штатный специалист (разработчик или системный администратор), пусть он регулярно обновляет и проверяет сайт хотя бы раз в квартал.

1. Составьте список установленного

Версия CMS, список модулей и плагинов, тема оформления, версия PHP. Стоит вести перечень версий серверных и клиентских компонентов. Это как инвентаризация вашего склада или имущества. Если вы не знаете, что у вас стоит, обновлять нечего.

2. Обновите и уберите лишнее

• Установите актуальные версии системы и модулей, сначала на тестовой копии.
• Удалите все, чем не пользуетесь: отключенные плагины, старые темы, забытые тестовые страницы. Неиспользуемый компонент так же уязвим.
• Брать модули стоит только из официальных источников.

У разных систем свои правила. WordPress официально поддерживает только последнюю версию, а исправления для старых переносит как любезность. Разработчик Битрикса рекомендует ставить все обновления и проверять, что лицензия действует. Для Joomla есть лента объявлений об исправленных уязвимостях.

3. Наведите порядок в доступах

• Каждому человеку своя учетная запись, без общего пароля «admin».
• Двухфакторная защита для администраторов.
• Удалите доступы тех, кто больше не работает с сайтом: бывших сотрудников и подрядчиков.
• Уникальные пароли, хранение в менеджере паролей.
• Доступы к серверу, домену и панели управления записаны на владельца компании, а не на подрядчика.

4. Резервные копии

• Копия делается по расписанию и хранится не на том же сервере.
• Копируются и файлы, и база данных.
• Раз в квартал копия восстанавливается на тестовой площадке. Только так видно, что она рабочая.

5. Защищенное соединение и заголовки

Сайт работает по HTTPS на всех страницах, сертификат продлевается автоматически, HTTP перенаправляется на HTTPS.

6. Формы и загрузки

Формы защищены от спама, загружаемые файлы проверяются по типу и размеру, пользовательский ввод обрабатывается на сервере, а не только в браузере.

7. Мониторинг

• Уведомление, если сайт перестал отвечать.
• Подключенная Search Console: поисковая система пришлет сообщение, если найдет проблему.
• Регулярно просматриваются списки администраторов и недавно измененные файлы.

Признаки, что сайт могли взломать

• В выдаче появились страницы, которых вы не создавали.
• На сайте незнакомые ссылки, особенно скрытые, или всплывающие окна.
• Посетителей перенаправляет на другие сайты, особенно с мобильных.
• Незнакомые учетные записи с правами администратора.
• На сервере появились или появляются новые файлы, которых вы не создавали.
• Резкий рост нагрузки или исходящей почты.
• Предупреждения браузера и поисковой системы.

Если подозреваете взлом, не удаляйте ничего сразу. Сделайте копию текущего состояния для разбора, смените все пароли, закройте уязвимость и только потом чистите сайт.

Что спросить у подрядчика

• Кто и как часто обновляет систему и модули?
• Где хранятся копии и когда их последний раз восстанавливали?
• У кого есть доступ к сайту и серверу?
• Что будет, если вышло срочное исправление безопасности?
• Входит ли это в поддержку или оплачивается отдельно?

Если у вас срочные проблемы, поможет услуга доработка сайта.

Что можно поручить нам

Мы проверяем сайт по большому чек-листу (включая):

• версии системы, модулей и плагинов;
• лишние модули;
• доступы;
• резервные копии;
• мониторинг.

Затем составляем план исправлений по важности. Это часть обслуживания сайта. Если у вас Битрикс, WordPress или Joomla и вы не уверены, что все под контролем, напишите нам.