Безопасность сайта для малого бизнеса: практический чек-лист

«Кому нужно взламывать малый бизнес?»

Ботам. Атаки на небольшие сайты редко бывают личными: автоматические сканеры обходят интернет в поисках известных уязвимостей и слабых логинов, и каждый подходящий сайт получает удар. Взломанный сайт может рассылать спам с вашего домена, перенаправлять посетителей на мошеннические страницы, сливать заявки из форм и получить от Google пометку «опасный».

Где обычно дыры

Отчёт Patchstack State of WordPress Security in 2025 насчитал 7 966 новых уязвимостей в экосистеме WordPress за 2024 год. 96% из них — в плагинах, 4% — в темах и всего семь — в ядре WordPress. Ещё два вывода отчёта: для 33% уязвимостей на момент публичного раскрытия не было исправления, а 43% можно было эксплуатировать без входа в систему.

Вывод не в том, что «WordPress небезопасен», а в том, что каждый установленный плагин — это код, за который отвечаете вы, на какой бы платформе ни был сайт.

Чек-лист

• Регулярно обновляйтесь. Ядро, темы, плагины и серверное ПО. Запланируйте это — минимум раз в месяц, а критические исправления безопасности сразу.
• Удаляйте лишнее. Отключённые плагины и старые тестовые копии сайта по-прежнему лежат на сервере.
• Берите плагины из поддерживаемых источников. Смотрите на дату последнего обновления и на то, как быстро разработчик реагирует на сообщения об уязвимостях.
• Уникальные пароли и двухфакторная аутентификация для админки, хостинга, регистратора домена и почты. Про регистратора часто забывают, а кто управляет доменом — тот управляет сайтом.
• Отдельные аккаунты с минимальными правами. Редактору контента не нужны права администратора, бывшему подрядчику не нужен никакой доступ.
• HTTPS везде и автоматическое продление сертификата.
• Бэкапы вне сервера, ежедневно для активных сайтов — и проверенные. Бэкап, который вы ни разу не восстанавливали, — это надежда, а не бэкап.
• Защищайте формы антиспамом и серверной валидацией; не доверяйте тому, что пришло из браузера.
• Мониторинг. Оповещения о доступности и уведомления Google Search Console сообщат о проблеме раньше, чем клиенты.

Кастомный код не безопасен автоматически

У кастомного сайта на Next.js меньше сторонних плагинов, и это убирает целый класс рисков. Но у него всё равно есть зависимости, админ-панель и API. Правила те же: обновлять зависимости, проверять права доступа и не хранить секреты в коде.

Назначьте ответственного

Чаще всего безопасность проваливается потому, что после запуска за неё никто не отвечает. Ваша команда или ваша студия — неважно, но за обновления, бэкапы и доступы должен отвечать конкретный человек.

От выбора платформы зависит, какая часть чек-листа ляжет на вас: сравните нагрузку на поддержку в статье WordPress или Next.js для сайта компании, а как ИИ-агент проверяет сайт на уязвимости, разобрано в гайде Академии про AI-пентест с Shannon. Если у вас некому отвечать за обновления и бэкапы, именно это входит в нашу техническую поддержку сайтов.

Не уверены, насколько защищён ваш сайт? Codearia предлагает техническую поддержку с обновлениями, бэкапами и мониторингом — напишите нам, и мы проведём быстрый аудит безопасности.