Безопасность сайта: SSL, бэкапы, обновления — минимум для бизнеса

Короткий ответ: минимум безопасности для сайта бизнеса — семь вещей: HTTPS с автоматическим продлением сертификата; ежедневные автоматические бэкапы, которые хранятся вне сервера сайта и проверены восстановлением; регулярные обновления CMS, плагинов, PHP и библиотек; двухфакторная аутентификация и отдельный аккаунт для каждого, у кого есть доступ; защита от ботов (CDN с файрволом, антиспам в формах, лимит попыток входа); мониторинг доступности, сертификата и домена; письменный план действий на случай взлома. Для небольшого сайта это стоит от 0 до 1 000 грн в месяц, а очистка после взлома — в разы дороже.

Ниже — что и как настроить, кто за что отвечает на разных платформах, сколько это стоит, и чеклист, по которому можно проверить свой сайт за вечер.

Почему взламывают даже маленькие сайты

«Кому нужен сайт нашей пекарни?» — самая распространённая иллюзия. Большинство атак автоматические: боты круглосуточно сканируют интернет в поисках известных уязвимых версий плагинов, слабых паролей и забытых админок. Им всё равно, чей это сайт. Взломанный ресурс используют для спам-рассылок, фишинговых страниц, перенаправления посетителей на казино или скрытых ссылок для чужого SEO.

Масштаб хорошо видно на примере WordPress — самой распространённой CMS. В ежегодном отчёте Patchstack «State of WordPress Security in 2026»:

• за 2025 год в экосистеме WordPress нашли 11 334 новые уязвимости: 91% — в плагинах, 9% — в темах, а в самом ядре — всего 6, и все низкого риска;
• 46% уязвимостей на момент публикации не имели исправления от разработчика;
• для самых активно эксплуатируемых уязвимостей медианное время от публикации до массовых атак — около 5 часов.

Так что «обновлю, когда будет время» уже не работает. В Украине к этому добавляются DDoS-атаки, от которых с 2022 года регулярно страдают украинские ресурсы, и отключения света, угрожающие данным на серверах без резервного питания.

1. SSL и HTTPS: настроить один раз и правильно

Бесплатный сертификат Let's Encrypt шифрует так же надёжно, как платный сертификат с проверкой домена. Проблемы возникают не из-за типа сертификата, а из-за продления и настроек.

Сроки сокращаются. CA/Browser Forum — объединение удостоверяющих центров и разработчиков браузеров — утвердил поэтапное сокращение максимального срока публичных TLS-сертификатов: с 15 марта 2026 года — 200 дней, с 15 марта 2027-го — 100 дней, с 15 марта 2029-го — 47 дней. Let's Encrypt движется ещё быстрее: на 2026 год его сертификаты в стандартном профиле действуют 90 дней (а с мая 2026-го по желанию можно получать 45-дневные), с 10 февраля 2027 года стандартный срок планируют сократить до 64 дней, с 16 февраля 2028-го — до 45. А письма-напоминания об окончании срока Let's Encrypt перестал отправлять ещё в июне 2025 года. Вывод: продление должно быть полностью автоматическим, а контроль — за вашим мониторингом, а не за почтой.

Платный сертификат с проверкой организации (OV или EV) оправдан, только если его требуют партнёры, банк или условия тендера: браузеры уже несколько лет не показывают название компании в адресной строке, так что на доверие посетителей он не влияет.

2. Бэкапы: правило 3-2-1 и проверка восстановления

Правило 3-2-1 появилось задолго до сайтов и до сих пор работает: три копии данных, на двух разных хранилищах, одна — вне основного места, то есть не на том же хостинге. Бэкапы на том же сервере пропадают вместе с ним — при взломе аккаунта, блокировке хостингом, сбое диска или долгом обесточивании дата-центра.

Что должно попадать в копию:

• файлы сайта и загруженные медиа;
• база данных — в ней тексты, товары, заказы, пользователи;
• конфигурация: настройки сервера, переменные окружения, ключи интеграций — в зашифрованном виде;
• экспорт DNS-записей домена, чтобы за полчаса восстановить почту и сайт у другого провайдера;
• для конструкторов и SaaS-платформ — регулярный экспорт товаров, заказов, клиентов и текстов: резервные копии платформы вы не контролируете.

Два термина, которые стоит вписать в договор поддержки: RPO — сколько данных допустимо потерять (за час, за сутки), и RTO — за какое время сайт должен снова заработать. Долгое хранение нужно потому, что вредоносный код нередко неделями живёт на сайте незаметно, и копия за прошлую неделю уже может быть заражённой.

И главное: раз в квартал разворачивайте бэкап на тестовом поддомене. Типичная история — копии «делались» годами, а в день аварии выяснилось, что в архиве нет базы данных. Час проверки раз в три месяца устраняет этот риск.

3. Обновления: ядро, плагины, PHP и библиотеки

• Срочные обновления безопасности — в течение 24–72 часов после выхода, плановые — раз в 2–4 недели. Перед обновлением — свежий бэкап, крупные обновления — сначала на тестовой копии.
• «Заброшенные» плагины, которые не обновлялись больше года, — кандидаты на замену. Отключённый плагин не равен удалённому: уязвимый код остаётся на сервере.
• Никаких nulled-версий — взломанных бесплатных копий платных тем и плагинов. Это один из самых распространённых способов занести на сайт бэкдор, который потом месяцами рассылает спам от вашего имени.
• PHP. Версия 8.1 не получает обновлений безопасности с 1 января 2026 года, 8.2 поддерживается до 31 декабря 2026-го. В 2026 году на сайте должен работать PHP 8.3 или новее.
• Индивидуальная разработка тоже требует обновлений. 3 декабря 2025 года опубликовали критическую уязвимость в React Server Components — CVE-2025-55182 с максимальной оценкой 10 из 10; она затронула и Next.js, а попытки атак зафиксировали уже через несколько часов после публикации. Защита — обновить пакеты, так что и «самописные» сайты нуждаются в регулярном обновлении зависимостей.
• Конструкторы и SaaS (Tilda, Wix, Horoshop, Shopify, Prom) обновляют платформу сами. На вас — аккаунты, пароли, двухфакторка и сторонний код, который вы вставляете на сайт.

4. Доступы: двухфакторка, роли и своевременный отзыв

Сайты чаще теряют не из-за хитрых хакеров, а из-за пароля «Firma2020» в чате с бывшим подрядчиком.

• Двухфакторная аутентификация — в почте (она ключ к восстановлению всех остальных паролей), у регистратора домена, на хостинге, в админке сайта, в Google-аккаунте с Analytics, Search Console и Ads, в Cloudflare.
• Отдельный аккаунт для каждого. Никаких общих «admin/admin123». Контент-менеджеру — роль редактора, полные права — одному-двум людям.
• Менеджер паролей (Bitwarden, 1Password, KeePassXC) вместо паролей в Viber, Telegram или таблице. Он позволяет делиться доступом, не пересылая сам пароль.
• Отзыв доступа в тот же день. Ушёл сотрудник или подрядчик — удалите его аккаунты, смените общие пароли, проверьте список администраторов на незнакомые имена.
• Защита входа в админку: ограничение числа попыток, по возможности — доступ только с определённых IP или дополнительный пароль на уровне сервера.
• Блокировка трансфера домена в кабинете регистратора. Как оформить домен на себя и не потерять его вместе с сайтом, читайте в статье Домен и хостинг: как выбрать и не потерять сайт.

5. Защита от ботов, DDoS и спама

CDN с файрволом. Бесплатный тариф Cloudflare включает защиту от DDoS-атак без лимита трафика и базовые правила файрвола: можно ограничить частоту запросов к странице входа и формам, закрыть админку для подозрительных стран, включить проверку для ботов. Но файрвол — дополнительный слой, а не замена обновлениям: в отдельном эксперименте Patchstack (январь 2026 года) распространённые хостинговые средства защиты заблокировали лишь около 26% попыток эксплуатации известных уязвимостей WordPress.

Формы. Скрытое поле-ловушка (honeypot), невидимая проверка Cloudflare Turnstile или Google reCAPTCHA, валидация на сервере, ограничение частоты отправок. Если форма принимает файлы — только нужные форматы и размеры и никогда не в публичную папку, где их можно выполнить.

Для общественных организаций, правозащитников и медиа есть бесплатные программы усиленной защиты: Project Galileo от Cloudflare и Project Shield от Google. Если вы запускаете сайт для благотворительного фонда, проверьте условия участия ещё до запуска.

6. Формы, заявки и персональные данные

Каждая заявка с именем и телефоном — это персональные данные. На 2026 год в Украине действует Закон «О защите персональных данных» №2297-VI от 2010 года, поэтому минимум такой:

• собирайте только нужные поля — для заявки обычно хватает имени и телефона;
• разместите понятную политику конфиденциальности и уведомление об обработке данных возле формы;
• заявки должны попадать в CRM, корпоративную почту или рабочий Telegram-бот, а не в личный Gmail менеджера; токены ботов и ключи API — секреты, их не вставляют в код страницы;
• ограничьте круг людей, которые могут выгружать базу клиентов.

Законопроект №8153 — новую редакцию закона, приближённую к европейскому GDPR, — Верховная Рада поддержала в первом чтении 20 ноября 2024 года; по состоянию на середину 2026 года в целом его ещё не приняли. После принятия требования к бизнесу и ответственность вырастут, так что навести порядок сейчас дешевле, чем потом.

Оплата картой. Используйте платёжную страницу или виджет LiqPay, WayForPay или monobank: данные карты вводятся на стороне платёжного сервиса и не проходят через ваш сервер. Никогда не храните номера карт у себя. Сравнение сервисов — в статье онлайн-оплата на сайте.

7. Мониторинг: узнать первым, а не от клиента

• Доступность — проверка каждые 1–5 минут с уведомлением в Telegram. У сервисов вроде UptimeRobot или Better Stack есть бесплатные и недорогие тарифы, но бесплатный план UptimeRobot с 2024 года предназначен только для некоммерческого использования — для сайта бизнеса проверьте условия или заложите платный план.
• Сроки SSL и домена — предупреждение минимум за 14 дней.
• Google Search Console — подтвердите сайт и включите уведомления на почту: отчёт о проблемах безопасности первым покажет взлом, из-за которого Google может предупреждать посетителей.
• Изменения файлов и вредоносный код — сканер на сервере или плагин безопасности для WordPress.
• Тестовая заявка через каждую форму раз в неделю: форма, которая молча не отправляет письма, — тоже инцидент.

Если сайт взломали: план на первый час

1. Не удаляйте всё сразу. Сохраните копию текущего состояния — она понадобится, чтобы понять, как именно проникли.
2. Смените пароли в правильном порядке: почта, регистратор домена, хостинг, админка, FTP/SSH, база данных. Завершите все активные сессии.
3. Закройте сайт страницей техработ, если он перенаправляет посетителей на вредоносные ресурсы.
4. Восстановите чистый бэкап с датой до заражения и сразу обновите всё, через что могли проникнуть.
5. Найдите точку входа: журналы сервера, новые администраторы, недавно изменённые файлы. Без этого взлом повторится через несколько дней.
6. Проверьте Search Console: отчёты о проблемах безопасности и мерах, принятых вручную, а также спам-страницы в индексе. После очистки отправьте запрос на проверку.
7. Если могли утечь данные клиентов, проконсультируйтесь с юристом о ваших обязанностях и честно предупредите людей.

Кто за что отвечает на разных платформах

Сколько стоит минимум безопасности

Ориентировочные цены на 2026 год:

Для сравнения: наш тариф Care Base — 990 ₴/мес, и в эту сумму уже входят хостинг, домен и SSL, ежедневные бэкапы, обновления с мониторингом и 1 час правок. Что ещё бывает в сопровождении и как сравнивать предложения подрядчиков, читайте в статье Поддержка сайта: сколько стоит и что входит.

8 типичных ошибок

1. Бэкапы только на том же сервере, что и сайт.
2. Один пароль на всех, да ещё и пересланный в мессенджере.
3. Домен и хостинг зарегистрированы на личную почту бывшего сотрудника, без двухфакторки.
4. Автообновления отключены, «чтобы ничего не сломалось», а графика ручных обновлений нет.
5. Nulled-темы и плагины «со скидкой 100%».
6. Забытые тестовые копии и поддомены вроде test.firma.ua со старым WordPress — идеальная точка входа.
7. Сторонний код без проверки: скрипты «для аналитики» с неизвестных сайтов, вставленные в шапку.
8. Игнорирование писем от Search Console и хостинга.

Чеклист: минимум безопасности сайта

• Сайт открывается только по HTTPS, один вариант адреса, HSTS включён
• Сертификат продлевается автоматически, мониторинг предупреждает о сроках
• Бэкапы ежедневно (для магазина — чаще), копия вне хостинга, хранение от 30 дней
• Восстановление из бэкапа проверено за последние три месяца
• CMS, плагины, темы и библиотеки обновлены; PHP 8.3 или новее
• Нет заброшенных, отключённых и nulled-плагинов
• Двухфакторка в почте, у регистратора, на хостинге, в админке и Google-аккаунтах
• У каждого свой аккаунт с минимальными правами; пароли — в менеджере паролей
• У бывших сотрудников и подрядчиков нет доступа
• Включены CDN с защитой от DDoS и лимит попыток входа
• Формы защищены от спама, заявки идут в CRM или корпоративную почту
• Есть политика конфиденциальности; данные карт обрабатывает только платёжный сервис
• Мониторинг доступности с уведомлениями в Telegram, сайт подтверждён в Search Console
• Записан план действий на случай взлома и контакты, кому звонить

Вывод

Безопасность сайта для малого бизнеса — не про дорогие системы защиты, а про дисциплину: автоматический SSL, бэкапы, которые реально восстанавливаются, своевременные обновления и доступы под контролем. Всё это настраивается за несколько часов и стоит меньше, чем один день простоя во время рекламной кампании.

Не хотите держать это в голове — передайте сайт на техническую поддержку с бэкапами, обновлениями и мониторингом. А в новых проектах мы закладываем защиту ещё на этапе разработки: домен оформляем на ваше имя, код и все доступы принадлежат вам, а ошибки бесплатно исправляем в течение 12 месяцев — подробности на странице гарантий.