Безпека сайту: SSL, бекапи, оновлення — мінімум для бізнесу

Коротка відповідь: мінімум безпеки для сайту бізнесу — сім речей: HTTPS з автоматичним продовженням сертифіката; щоденні автоматичні бекапи, що зберігаються поза сервером сайту і перевірені відновленням; регулярні оновлення CMS, плагінів, PHP і бібліотек; двофакторна автентифікація та окремий акаунт для кожного, хто має доступ; захист від ботів (CDN із фаєрволом, антиспам у формах, ліміт спроб входу); моніторинг доступності, сертифіката й домену; письмовий план дій на випадок зламу. Для невеликого сайту це коштує від 0 до 1 000 грн на місяць, а очищення після зламу — у рази дорожче.

Нижче — що й як налаштувати, хто за що відповідає на різних платформах, скільки це коштує, і чеклист, за яким можна перевірити свій сайт за вечір.

Чому зламують навіть маленькі сайти

«Кому потрібен сайт нашої пекарні?» — найпоширеніша ілюзія. Більшість атак автоматичні: боти цілодобово сканують інтернет у пошуках відомих вразливих версій плагінів, слабких паролів і забутих адмінок. Їм байдуже, чий це сайт. Зламаний ресурс використовують для спам-розсилок, фішингових сторінок, перенаправлення відвідувачів на казино чи прихованих посилань для чужого SEO.

Масштаб добре видно на прикладі WordPress — найпоширенішої CMS. У щорічному звіті Patchstack «State of WordPress Security in 2026»:

• за 2025 рік в екосистемі WordPress виявили 11 334 нові вразливості: 91% — у плагінах, 9% — у темах, а в самому ядрі — лише 6, і всі низького ризику;
• 46% вразливостей на момент оприлюднення не мали виправлення від розробника;
• для найактивніше експлуатованих вразливостей медіанний час від оприлюднення до масових атак — близько 5 годин.

Отже, «оновлю, коли буде час» уже не працює. В Україні до цього додаються DDoS-атаки, від яких з 2022 року регулярно страждають українські ресурси, і відключення світла, що загрожують даним на серверах без резервного живлення.

1. SSL і HTTPS: налаштувати раз і правильно

Безкоштовний сертифікат Let's Encrypt шифрує так само надійно, як платний сертифікат із перевіркою домену. Проблеми виникають не через тип сертифіката, а через продовження та налаштування.

Строки скорочуються. CA/Browser Forum — обʼєднання центрів сертифікації і розробників браузерів — затвердив поетапне скорочення максимального строку публічних TLS-сертифікатів: з 15 березня 2026 року — 200 днів, з 15 березня 2027-го — 100 днів, з 15 березня 2029-го — 47 днів. Let's Encrypt рухається ще швидше: станом на 2026 рік його сертифікати у стандартному профілі діють 90 днів (а з травня 2026-го за бажанням можна отримувати 45-денні), з 10 лютого 2027 року стандартний строк планують скоротити до 64 днів, з 16 лютого 2028-го — до 45. А листи-нагадування про закінчення строку Let's Encrypt перестав надсилати ще в червні 2025 року. Висновок: продовження має бути повністю автоматичним, а контроль — за вашим моніторингом, а не за поштою.

Платний сертифікат із перевіркою організації (OV чи EV) виправданий, лише якщо його вимагають партнери, банк або умови тендеру: браузери вже кілька років не показують назву компанії в адресному рядку, тож на довіру відвідувачів він не впливає.

2. Бекапи: правило 3-2-1 і перевірка відновлення

Правило 3-2-1 зʼявилося задовго до сайтів і досі працює: три копії даних, на двох різних сховищах, одна — поза основним місцем, тобто не на тому самому хостингу. Бекапи на тому ж сервері зникають разом із ним — під час зламу акаунта, блокування хостингом, збою диска чи довгого знеструмлення дата-центру.

Що має потрапляти в копію:

• файли сайту і завантажені медіа;
• база даних — у ній тексти, товари, замовлення, користувачі;
• конфігурація: налаштування сервера, змінні середовища, ключі інтеграцій — у зашифрованому вигляді;
• експорт DNS-записів домену, щоб за пів години відновити пошту й сайт в іншого провайдера;
• для конструкторів і SaaS-платформ — регулярний експорт товарів, замовлень, клієнтів і текстів: резервні копії платформи ви не контролюєте.

Два терміни, які варто вписати в договір підтримки: RPO — скільки даних можна втратити (за годину, за добу), і RTO — за який час сайт має знову запрацювати. Довге зберігання потрібне тому, що шкідливий код нерідко тижнями живе на сайті непомітно, і копія за минулий тиждень уже може бути зараженою.

І головне: раз на квартал розгортайте бекап на тестовому піддомені. Типова історія — копії «робилися» роками, а в день аварії зʼясувалося, що в архіві немає бази даних. Година перевірки раз на три місяці усуває цей ризик.

3. Оновлення: ядро, плагіни, PHP і бібліотеки

• Термінові оновлення безпеки — протягом 24–72 годин після виходу, планові — раз на 2–4 тижні. Перед оновленням — свіжий бекап, великі оновлення — спершу на тестовій копії.
• «Покинуті» плагіни, які не оновлювалися понад рік, — кандидати на заміну. Вимкнений плагін не дорівнює видаленому: вразливий код лишається на сервері.
• Жодних nulled-версій — зламаних безкоштовних копій платних тем і плагінів. Це один із найпоширеніших способів занести на сайт бекдор, який потім місяцями розсилає спам від вашого імені.
• PHP. Версія 8.1 не отримує оновлень безпеки з 1 січня 2026 року, 8.2 підтримується до 31 грудня 2026-го. У 2026 році на сайті має працювати PHP 8.3 або новіший.
• Індивідуальна розробка теж потребує оновлень. 3 грудня 2025 року оприлюднили критичну вразливість у React Server Components — CVE-2025-55182 з максимальною оцінкою 10 із 10; вона зачепила і Next.js, а спроби атак зафіксували вже за кілька годин після оприлюднення. Захист — оновити пакети, тож і «самописні» сайти потребують регулярного оновлення залежностей.
• Конструктори і SaaS (Tilda, Wix, Horoshop, Shopify, Prom) оновлюють платформу самі. На вас — акаунти, паролі, двофакторка і сторонній код, який ви вставляєте на сайт.

4. Доступи: двофакторка, ролі й вчасне відкликання

Сайти частіше втрачають не через хитрих хакерів, а через пароль «Firma2020» у чаті з колишнім підрядником.

• Двофакторна автентифікація — у пошті (вона ключ до відновлення всіх інших паролів), у реєстратора домену, на хостингу, в адмінці сайту, у Google-акаунті з Analytics, Search Console і Ads, у Cloudflare.
• Окремий акаунт для кожного. Жодних спільних «admin/admin123». Контент-менеджеру — роль редактора, повні права — одній-двом людям.
• Менеджер паролів (Bitwarden, 1Password, KeePassXC) замість паролів у Viber, Telegram чи таблиці. Він дозволяє ділитися доступом, не пересилаючи сам пароль.
• Відкликання в той самий день. Пішов працівник чи підрядник — видаліть його акаунти, змініть спільні паролі, перевірте список адміністраторів на незнайомі імена.
• Захист входу в адмінку: обмеження кількості спроб, за можливості — доступ лише з певних IP або додатковий пароль на рівні сервера.
• Блокування трансферу домену в кабінеті реєстратора. Як оформити домен на себе і не втратити його разом із сайтом, читайте у статті Домен і хостинг: як обрати і не втратити сайт.

5. Захист від ботів, DDoS і спаму

CDN із фаєрволом. Безкоштовний тариф Cloudflare включає захист від DDoS-атак без ліміту трафіку і базові правила фаєрвола: можна обмежити частоту запитів до сторінки входу й форм, закрити адмінку для підозрілих країн, увімкнути перевірку для ботів. Але фаєрвол — додатковий шар, а не заміна оновленням: в окремому експерименті Patchstack (січень 2026 року) поширені хостингові засоби захисту заблокували лише близько 26% спроб експлуатації відомих вразливостей WordPress.

Форми. Приховане поле-пастка (honeypot), невидима перевірка Cloudflare Turnstile чи Google reCAPTCHA, валідація на сервері, обмеження частоти відправлень. Якщо форма приймає файли — лише потрібні формати й розміри і ніколи не в публічну папку, де їх можна виконати.

Для громадських організацій, правозахисників і медіа існують безкоштовні програми посиленого захисту: Project Galileo від Cloudflare і Project Shield від Google. Якщо ви запускаєте сайт для благодійного фонду, перевірте умови участі ще до запуску.

6. Форми, заявки й персональні дані

Кожна заявка з іменем і телефоном — це персональні дані. Станом на 2026 рік в Україні діє Закон «Про захист персональних даних» №2297-VI від 2010 року, тож мінімум такий:

• збирайте лише потрібні поля — для заявки зазвичай досить імені й телефону;
• розмістіть зрозумілу політику конфіденційності й повідомлення про обробку даних біля форми;
• заявки мають потрапляти в CRM, корпоративну пошту чи робочий Telegram-бот, а не в особистий Gmail менеджера; токени ботів і ключі API — секрети, їх не вставляють у код сторінки;
• обмежте коло людей, які можуть вивантажувати базу клієнтів.

Законопроєкт №8153 — нову редакцію закону, наближену до європейського GDPR, — Верховна Рада підтримала в першому читанні 20 листопада 2024 року; станом на середину 2026 року в цілому його ще не ухвалили. Після ухвалення вимоги до бізнесу і відповідальність зростуть, тож навести лад зараз дешевше, ніж потім.

Оплата карткою. Використовуйте платіжну сторінку чи віджет LiqPay, WayForPay або monobank: дані картки вводяться на боці платіжного сервісу й не проходять через ваш сервер. Ніколи не зберігайте номери карток у себе. Порівняння сервісів — у статті онлайн-оплата на сайті.

7. Моніторинг: дізнатися першим, а не від клієнта

• Доступність — перевірка кожні 1–5 хвилин зі сповіщенням у Telegram. Сервіси на кшталт UptimeRobot чи Better Stack мають безкоштовні й недорогі тарифи, але безкоштовний план UptimeRobot з 2024 року призначений лише для некомерційного використання — для сайту бізнесу перевірте умови або закладіть платний план.
• Строки SSL і домену — попередження щонайменше за 14 днів.
• Google Search Console — підтвердіть сайт і ввімкніть сповіщення на пошту: звіт про проблеми безпеки першим покаже злам, через який Google може попереджати відвідувачів.
• Зміни файлів і шкідливий код — сканер на сервері або плагін безпеки для WordPress.
• Тестова заявка через кожну форму раз на тиждень: форма, що мовчки не надсилає листів, — теж інцидент.

Якщо сайт зламали: план на першу годину

1. Не видаляйте все одразу. Збережіть копію поточного стану — вона знадобиться, щоб знайти, як саме зайшли.
2. Змініть паролі в правильному порядку: пошта, реєстратор домену, хостинг, адмінка, FTP/SSH, база даних. Завершіть усі активні сесії.
3. Закрийте сайт сторінкою техробіт, якщо він перенаправляє відвідувачів на шкідливі ресурси.
4. Відновіть чистий бекап із датою до зараження і одразу оновіть усе, через що могли проникнути.
5. Знайдіть точку входу: журнали сервера, нові адміністратори, нещодавно змінені файли. Без цього злам повториться за кілька днів.
6. Перевірте Search Console: звіти про проблеми безпеки і заходи, вжиті вручну, а також спам-сторінки в індексі. Після очищення надішліть запит на перевірку.
7. Якщо могли витекти дані клієнтів, проконсультуйтеся з юристом щодо ваших обовʼязків і чесно попередьте людей.

Хто за що відповідає на різних платформах

Скільки коштує мінімум безпеки

Орієнтовні ціни станом на 2026 рік:

Для порівняння: наш тариф Care Base — 990 ₴/міс, і в цю суму вже входять хостинг, домен і SSL, щоденні бекапи, оновлення з моніторингом та 1 година правок. Що ще буває в супроводі і як порівнювати пропозиції підрядників, читайте у статті Підтримка сайту: скільки коштує і що входить.

8 типових помилок

1. Бекапи лише на тому самому сервері, що й сайт.
2. Один пароль на всіх, ще й пересланий у месенджері.
3. Домен і хостинг зареєстровано на особисту пошту колишнього працівника, без двофакторки.
4. Автооновлення вимкнено, «щоб нічого не зламалося», а графіка ручних оновлень немає.
5. Nulled-теми і плагіни «зі знижкою 100%».
6. Забуті тестові копії й піддомени на кшталт test.firma.ua зі старим WordPress — ідеальна точка входу.
7. Сторонній код без перевірки: скрипти «для аналітики» з невідомих сайтів, вставлені в шапку.
8. Ігнорування листів від Search Console і хостингу.

Чеклист: мінімум безпеки сайту

• Сайт відкривається лише через HTTPS, один варіант адреси, HSTS увімкнено
• Сертифікат продовжується автоматично, моніторинг попереджає про строки
• Бекапи щодня (для магазину — частіше), копія поза хостингом, зберігання від 30 днів
• Відновлення з бекапу перевірено протягом останніх трьох місяців
• CMS, плагіни, теми й бібліотеки оновлені; PHP 8.3 або новіший
• Немає покинутих, вимкнених і nulled-плагінів
• Двофакторка в пошті, у реєстратора, на хостингу, в адмінці й Google-акаунтах
• Кожен має власний акаунт із мінімальними правами; паролі — в менеджері паролів
• Колишні працівники й підрядники не мають доступу
• Увімкнено CDN із захистом від DDoS і ліміт спроб входу
• Форми захищені від спаму, заявки йдуть у CRM або корпоративну пошту
• Є політика конфіденційності; дані карток обробляє лише платіжний сервіс
• Моніторинг доступності з повідомленнями в Telegram, сайт підтверджено в Search Console
• Записано план дій на випадок зламу і контакти, кому дзвонити

Висновок

Безпека сайту для малого бізнесу — не про дорогі системи захисту, а про дисципліну: автоматичний SSL, бекапи, які реально відновлюються, вчасні оновлення і доступи під контролем. Усе це налаштовується за кілька годин і коштує менше, ніж один день простою під час рекламної кампанії.

Не хочете тримати це в голові — передайте сайт на технічну підтримку з бекапами, оновленнями й моніторингом. А на нових проєктах ми закладаємо захист ще під час розробки: домен оформлюємо на ваше імʼя, код і всі доступи належать вам, а помилки безкоштовно виправляємо протягом 12 місяців — деталі на сторінці гарантій.