Безопасность сайта: SSL, бэкапы и незаметный взлом

Коротко: сайты малого бизнеса взламывают не потому, что кому-то лично нужен именно вы, а потому что автоматические сканеры прочёсывают весь интернет в поисках незапертых дверей: нет SSL, устаревший WordPress, дефолтные пароли, нет бэкапов. Ущерб не теоретический — спам, вшитый в ваши страницы, чёрный список Google для домена, посетители, которых пугает красный баннер «Не защищено». Всё это предотвращается пятишаговым минимумом, который стоит часов, а не тысяч. Ниже — каждый шаг простым языком.

Сначала про замок: что делает SSL на самом деле

SSL (это https:// и замок в адресной строке) делает две вещи, важные владельцу:

1. Шифрует данные в пути — заполненная на сайте форма едет на ваш сервер в запертом виде, а не в читаемом для всех в том же Wi-Fi.
2. Доказывает, что сайт ваш — никто не может показать ваши страницы под вашим адресом.

Поэтому браузеры кричат «Не защищено» на страницах без него. Google использует HTTPS как фактор ранжирования, платёжные сервисы требуют его (онлайн-оплата без SSL просто не работает), а посетители — по исследованиям доверия — заметно ему не доверяют.

Цена: $0–100 в год. Бесплатный сертификат Let’s Encrypt покрывает 99% случаев; панели хостинга ставят его в пару кликов. Оправдания бизнес-сайту без SSL сегодня не существует — как и преимуществ.

Что реально угрожает сайту малого бизнеса (по частоте)

Угроза	Как происходит	Что теряете
Устаревшая CMS/плагины	с установки никто не обновлял	уязвимость, которую сканеры находят за минуты
Слабые/повторяемые пароли	админ-логин из утёкшей базы	дефейс, скрытые редиректы на спам-сайты
Нет бэкапов	хостинг стёр, взлом, неудачное обновление	новый сайт с нуля, недели потерянных доходов
Вредонос из «нулящих» тем	«бесплатная» премиум-тема = троян в упаковке	чёрный список Google, подорванное доверие
DDoS (редко для малых)	конфликт, конкурент, «для фанa»	простой, потерянные дни горячего сезона
Фишинг на вашем домене	просроченный DNS, атакующий его регистрирует	клиенты получают поддельную страницу оплаты от вашего имени

Страшная колонка — третья, и почти всё в ней предотвращается гигиеной, а не бюджетом.

Пятишаговый минимум (реально закрыть на этой неделе)

Сколько взлом стоит малому бизнесу (честный расчёт)

• Недели офлайна: обычный сайт, который приносил 5–15 заявок в месяц, уходит в ноль — на время пересборки, которое вы не планировали.
• Обнуление доверия: красная страница Google + спам-тайтлы в выдаче («купить виагру — ваша компания ремонта кухонь»). Клиенты скринят это и пересылают друг друга годами.
• Последствия blacklist: очистка, повторная проверка, восстановление отношений с платёжными системами — дни и недели работы.
• Ответственность за данные: если из вашего магазина утечёт база клиентов (заказы, телефоны) — юридический риск плюс репутационный вред навсегда в нише, где все друг друга знают.

Комплекс профилактики — SSL + бэкапы + обновления + пароли — 2–4 часа настройки и ~$0–100 в год. Соотношение очевидно.

Человеческий слой: две самые частые реальные истории взлома

Не взрывы и не шпионы. Две классические истории малого бизнеса:

1. «Разработчик сделал сайт и исчез.» Ссылка сброса пароля приходит на его почту (он так настроил), доступ тихо остаётся у него; или сайт заканчивается на его хостинге, когда он перестал платить. Владелец везде: хостинг, домен и админка CMS должны быть на ВАШЕЙ почте. Проверьте сегодня.
2. Налитая тема/плагин. «Премиум»-плагин за $3 из телеграм-канала приезжает с уже установленным бэкдором. Сканерам даже не нужно вас эксплуатировать — они просто исполняют код, который им дали бесплатно.

Что делает DEXA про безопасность

Каждый наш сайт работает на HTTPS по умолчанию, статик-ориентированная архитектура (нет поверхности атаки плагинов), ежедневные бэкапы, ограниченный доступ в админку и окно мониторинга после запуска. Принимая существующий WordPress-сайт, мы начинаем с security-прохода: проверка на вредонос, аудит доступов, настройка бэкапов, план обновлений. Обслуживание и поддержка — ровно про это, до инцидента, а не после.

Итог

Безопасность сайта для малого бизнеса — не кибернаука, а пять скучных привычек: SSL, бэкапы, обновления, пароли и квартальная самопроверка. Они стоят часов в год; их отсутствие может стоить целого квартала. Сделайте минимум на этой неделе, а дальше решите, кто будет держать сайт в безопасности весь следующий год — гид по обслуживанию для следующего чтения.

Закрыть сайт и доверить обслуживание → — проводим security-проход по существующим сайтам и сдаём новые запертыми по умолчанию. Читайте также: как заставить сайт приносить заявки и чинить или переделывать — честное решение.