Безопасность — это не только про пользователей, но и про позиции: поисковики помечают взломанные и подозрительные сайты предупреждениями, и трафик обваливается мгновенно. Аудит безопасности проверяет сертификат и смешанный контент, ищет следы взлома и скрытых ссылок, следит за устаревшими компонентами и читает уведомления вебмастерских панелей. Разбираем слой за слоем.
HTTPS: сертификат и смешанный контент
Первый слой — корректность защищённого соединения: сертификат действует и покрывает все зеркала, цепочка сертификатов полная, страницы отдают код 200 без редирект-каскадов. Второй — смешанный контент: скрипты, картинки и стили, загружаемые по http на https-странице, ломают индикатор защищённости в браузере и пугают пользователей. Аудит проходит все шаблоны страниц и переводит все ресурсы на https или относительные адреса.
Признаки взлома: что искать руками и сканерами
Классические следы: скрытые ссылки на сторонние сайты в подвале и в коде, подменённые файлы, новые админ-аккаунты, страницы-дорвеи, редиректы на чужие домены для части посетителей. Аудит сверяет исходящие ссылки с ожидаемыми, смотрит даты изменения файлов, проверяет список пользователей и плагинов. Сканеры безопасности и вебмастерские панели дополняют картину: поисковики часто замечают взлом раньше владельца.
Уведомления панелей: красные флаги из первых рук
Вебмастерские панели присылают предупреждения о вредоносном коде и фишинге, а в браузерах появляется пугающая заглушка вместо сайта. Аудит включает регулярную проверку этих разделов: уведомление о взломе требует действий по чек-листу — чистка, повторная отправка на проверку, контроль снятия пометки. Игнорирование уведомления стоит месяцев трафика: пометка в браузере отпугивает даже лояльных пользователей.
Устаревшие компоненты: двери для взлома
Большинство взломов идёт через известные дыры в устаревших версиях движков, плагинов и тем. Аудит инвентаризирует компоненты и их версии, убирает неиспользуемые плагины и темы, ставит обновления в регламент. Каждый лишний плагин — это лишняя дверь: минимизация компонентов — самая дешёвая мера безопасности, которая заодно ускоряет сайт.
Доступы и права: человеческий фактор
Слабые пароли, общие аккаунты, незакрытые права удалённых сотрудников — половина инцидентов начинается здесь. Аудит доступа: уникальные пароли и двухфакторная защита для админов, минимальные права для ролей, журнал входов. После каждого инцидента или ухода сотрудника — смена ключей и паролей. Это скучно, но именно скучные меры останавливают большинство атак.
Формы и данные пользователей: доверие как фактор
Формы собирают персональные данные, и утечка — это репутационная катастрофа. Аудит проверяет: формы защищены от спама и инъекций, данные передаются по защищённому соединению, политика обработки данных опубликована и соответствует практике. Доверие пользователя — коммерческий фактор: сайт, которому боятся оставить почту, проигрывает тому, которому доверяют.
Регламент безопасности: ежемесячный минимум
Сведите безопасность в ритм: ежемесячно — обновления компонентов, проверка уведомлений панелей, контрольный обход сканером; ежеквартально — аудит доступов и прав, резервные копии с проверкой восстановления. Резервная копия, которую никогда не восстанавливали, — не резервная копия: проверка восстановления обязательна.
Заголовки безопасности и внешние зависимости
Контент-политика, строгие заголовки транспорта и контроль внешних скриптов — слой, который видят и люди, и сканеры доверия. Аудит проверяет заголовки ответа и список сторонних доменов: каждый чужой скрипт — чужой код на вашем сайте.
Частые ошибки аудита безопасности
Первая — лечить симптомы: почистить видимые дорвеи и не найти дыру, через которую они вернулись через неделю. Вторая — забыть про скрытые аккаунты и файлы после чистки. Третья — не отправить сайт на повторную проверку в панели: пометка не снимается сама. Четвёртая — экономить на обновлениях: устаревший плагин дешевле обновить, чем разбирать последствия взлома.
Мини-кейс: пометка снята, трафик вернулся за две недели
Каталог получил браузерную заглушку о вредоносном коде и потерял восемьдесят процентов трафика за день. Аудит нашёл дыру в забытом плагине и скрытые ссылки на сотнях страниц. Дыру закрыли, ссылки вычистили, пароли сменили, сайт отправили на повторную проверку. Пометка снялась за три дня, трафик вернулся за две недели. Кейс показывает: безопасность — это часть SEO, а не параллельная вселенная.
Резервные копии: последний рубеж
Даже идеальная защита не отменяет резервных копий: аудит бэкапов проверяет три вещи — копии делаются по расписанию, хранятся отдельно от сайта и регулярно восстанавливаются в тестовую среду. Копия, лежащая на том же сервере, сгорит вместе с сайтом; копия, которую никто не разворачивал, может оказаться битой. Проверка восстановления — обязательный пункт квартального аудита безопасности.
Итог: аудит безопасности — это сертификат и смешанный контент, поиск следов взлома, уведомления панелей, свежие компоненты и дисциплина доступов. Безопасный сайт — это сайт, которому доверяют люди и поисковики, а доверие конвертируется в трафик и деньги.