Безопасность сайта для бизнеса: базовый чек-лист
Абсолютной защиты не существует, но большинство инцидентов связано с простыми проблемами: старыми модулями, общими паролями, лишними правами и отсутствием резервных копий.
Контролируйте доступ и обновления
Каждый участник должен иметь собственную учётную запись и минимальные необходимые права. Уволенные сотрудники и бывшие подрядчики удаляются, а обновления устанавливаются после проверки на тестовой копии.
- MFA для администраторов и критичных сервисов
- менеджер паролей вместо передачи в мессенджере
- реестр CMS, модулей и сроков обновления
Практический ориентир: владелец бизнеса должен контролировать домен, хостинг и главную учётную запись.
Защитите данные и формы
Собирайте только нужные сведения, валидируйте ввод на сервере и не отправляйте персональные данные в аналитические URL. Для административных действий нужны проверка прав и журнал.
- защита от спама и ограничение частоты запросов
- безопасные заголовки, cookies и политика CORS
- шифрование передачи и минимальные сроки хранения
Практический ориентир: юридические требования к персональным данным уточняйте для вашей отрасли и географии.
Готовьтесь к восстановлению
Резервная копия полезна только если её можно восстановить. Копии хранят отдельно, периодически тестируют и дополняют планом действий при инциденте.
- автоматические копии файлов и базы
- мониторинг доступности и ошибок
- контакты ответственных и порядок отключения скомпрометированного доступа
Практический ориентир: проведите тестовое восстановление до того, как оно понадобится в аварии.
Базовая ежемесячная проверка
- обновления установлены
- лишние доступы удалены
- резервные копии создаются
- ошибки и подозрительные входы просмотрены
- сертификат и домен не истекают
Частые вопросы
Достаточно ли антивируса на хостинге?
Нет. Он лишь один слой. Нужны обновления, контроль доступа, безопасный код, резервные копии и мониторинг.
Как часто делать резервные копии?
Частота зависит от изменения данных. Магазину может требоваться несколько копий в день, статичному сайту — реже.
Можно ли гарантировать отсутствие взлома?
Нет. Можно снизить вероятность и ущерб, быстро обнаруживать проблемы и восстанавливаться.