Безопасность сайта малого бизнеса

Безопасность сайта у малого бизнеса обычно вспоминают после проблемы: сайт открывается с чужой рекламой, форма присылает сотни спам-заявок или хостинг блокирует аккаунт. Хорошая новость: для небольшого сайта не нужен отдел безопасности. Достаточно базового минимума, который закрывает большинство типичных рисков.

Откуда берутся проблемы

Небольшие сайты почти никогда не ломают «вручную». Работают автоматические программы, которые проверяют тысячи сайтов подряд и ищут:

• старые версии CMS и плагинов с известными дырами;
• простые пароли вроде admin123;
• открытые формы без защиты, через которые можно слать спам;
• забытые тестовые копии сайта на поддоменах.

Поэтому главная защита: не быть самым лёгким сайтом в списке.

Базовый минимум

HTTPS

Сегодня это обязательный стандарт. Без HTTPS браузеры предупреждают посетителей, а поисковики понижают сайт. Сертификат бесплатный и продлевается автоматически, главное, чтобы продление кто-то настроил и проверял.

Доступы и пароли

Самая частая история в малом бизнесе: домен куплен на фрилансера, хостинг на бывшего сотрудника, пароль от админки знают пять человек. Наведите порядок:

1. Домен .am и хостинг оформлены на вас или вашу компанию.
2. У каждого сотрудника свой вход в админку, а не общий пароль.
3. Где можно, включён вход с кодом из приложения или SMS.
4. Уволился сотрудник или сменился подрядчик: в тот же день отключите его доступ.

Подробнее про хостинг и домен в статье хостинг и безопасность сайта.

Обновления

Если сайт сделан на WordPress или другой CMS с плагинами, каждый плагин нужно обновлять. Заброшенный сайт без обновлений через год становится лёгкой целью. Сайты, которые Kinto пишет без тяжёлой CMS, имеют меньше точек входа, но и их стоит раз в несколько месяцев проверять.

Бэкапы

Бэкап это копия сайта и базы данных, из которой можно всё восстановить. Правила простые:

• копии делаются автоматически, а не «когда вспомним»;
• хранятся отдельно от основного сервера;
• раз в несколько месяцев проверяется, что из копии действительно можно восстановиться.

Для магазина с заказами копия нужна каждый день, для сайта-визитки достаточно раз в неделю.

Формы и заявки

Форма заявки самое уязвимое место простого сайта. Без защиты в неё пишут боты: спам, ссылки, мусор. Что помогает:

• скрытое поле-ловушка для ботов;
• ограничение числа отправок с одного адреса;
• проверка формата телефона и почты;
• капча только при подозрительной активности, чтобы не мешать людям.

В сайтах Kinto заявки приходят в Telegram, поэтому спам сразу заметен, и защиту настраиваем заранее.

Данные клиентов

Если сайт собирает имена, телефоны или адреса, относитесь к ним аккуратно: не храните лишнего, не пересылайте таблицы с контактами в общие чаты, ограничьте круг людей с доступом. Онлайн-оплату подключайте только через банковский или платёжный сервис, данные карт на вашем сервере храниться не должны.

Сайт на конструкторе, CMS или на заказ

Уровень риска зависит от того, на чём сделан сайт:

У каждого варианта свои слабые места, универсальный совет один: вы должны знать, где сайт находится и как в него войти без помощи третьих лиц.

Что делать, если сайт уже взломали

1. Не паникуйте и не удаляйте всё подряд. Сначала сохраните текущее состояние, это поможет найти, как был вход.
2. Смените пароли: хостинг, админка, домен, почта, FTP.
3. Восстановите сайт из чистого бэкапа, сделанного до взлома.
4. Обновите всё, что устарело: CMS, плагины, библиотеки.
5. Проверьте сайт в Google Search Console: нет ли пометки о вредоносном содержимом, и при необходимости отправьте запрос на проверку.
6. Проверьте формы и заявки: работают ли они и не уходят ли данные куда-то ещё.

Без бэкапа шаг 3 превращается в ручную чистку кода, которая занимает намного больше времени и не всегда находит всё.

Мелочи, о которых забывают

• Тестовая копия сайта на поддомене с тем же паролем, что и основной.
• Старые аккаунты подрядчиков в админке.
• Почта на домене без защиты, через которую можно восстановить пароли ко всему остальному.
• Домен, который продлевается с карты бывшего сотрудника. Если оплата не пройдёт, сайт пропадёт вместе с почтой.

Что проверить самому за 15 минут

• В браузере у сайта есть замок, и адрес начинается с https.
• Вы знаете, где зарегистрирован домен, и можете туда войти.
• Вы знаете, где хостинг, и можете туда войти.
• Пароль от админки не тот же, что от почты.
• Вы знаете, когда был последний бэкап.

Если хотя бы на один пункт нет ответа, это первое, что стоит исправить.

Сколько стоит

Базовая защита (HTTPS, защита форм, доступы на клиента) входит в каждый сайт Kinto без доплаты. Для тех, кто не хочет думать об обновлениях и бэкапах, есть поддержка.

Полный прайс на странице цены, состав работ на странице создание сайтов. Если есть сомнения в своём текущем сайте, напишите в Telegram @kinto_am.

Обновлено: 2026-10-15