Безопасность интернет-магазина: что проверять каждую неделю

Обслуживание интернет-магазина начинается с оформления заказа

Главная страница открывается. Фото товаров на месте. А список пакоматов пустует со вторника - покупатели доходят до доставки и бросают корзину. Снаружи магазин выглядит исправным.

Вот почему обслуживание интернет-магазина - не просто кнопка Update. Для небольшого магазина на WooCommerce в Эстонии продажи и безопасность интернет-магазина зависят от одной привычки: регулярно проходить весь путь заказа. Про защиту магазина на WordPress, который принимает платежи, мы уже писали. Здесь - проверки на каждую неделю, каждый месяц и после апдейтов.

Зачем небольшому магазину четкий порядок действий

Обычно злоумышленник не выбирает лично ваш магазин. Боты прочесывают тысячи сайтов в поисках известных дыр. Маленький каталог не делает плагин без патча менее интересным.

В сентябрьском обзоре RIA за 2026 год есть жесткий пример. 11 сентября Тартуский университет обнаружил, что атакующие получили доступ к его магазину электронных книг. Вероятно, они скачали имена покупателей, адреса электронной почты, телефоны, логины с зашифрованными паролями и историю покупок. По предварительным данным, вошли через незакрытую уязвимость. Магазин закрыли до очистки. RIA не утверждало, что сайт работал на WordPress, - не будем приписывать этой истории WooCommerce. Суть тут в дыре, которую вовремя не закрыли.

В том же месяце RIA и CERT-EE - эстонская служба реагирования на киберинциденты - предупредили о критических уязвимостях WordPress и посоветовали обновиться до WordPress 7.1.2 или новее. Советы RIA для магазинов вполне приземленные: обновлять движок и расширения, давать доступ в админку только тем, кому он нужен, и держать контакты домена актуальными в реестре .ee организации Eesti Interneti SA - Эстонского интернет-фонда. Если предупреждение от CERT-EE уйдет на старую почту, вы его просто пропустите. RIA также сообщало, что через устаревшие магазины атакующие размещали код для кражи карточных данных или фишинговые страницы. Именно фишинг составляет большую часть инцидентов, которые регистрирует CERT-EE.

Что проверять каждую неделю

Выберите спокойное утро и выделите 20 минут. Поставьте напоминание в календарь: сломанная оплата редко предупреждает о себе заранее.

• Посмотрите обновления, но сначала сделайте бэкап. Сохраните базу данных и файлы перед обновлением WordPress, WooCommerce, темы и плагинов. Не запускайте все апдейты разом в разгар заказов.
• Оформите заказ от начала до конца. Выберите пакомат Omniva, DPD или SmartPost/Itella. Проверьте оплату в тестовом режиме или проведите реальный платеж на небольшую разумную сумму. Дождитесь письма о заказе и убедитесь, что счет попал в Merit, Directo или вашу учетную систему. Потом корректно обработайте тестовый заказ.
• Проверьте доступы. Нет ли новых администраторов, которых вы не создавали? А серии неудачных входов? Прежде чем удалять аккаунт, спросите, кто его добавил.
• Просмотрите свежие заказы. Повторяющиеся ошибки оплаты или внезапный всплеск заказов стоит проверить. Иногда у покупателя просто не проходит карта - не записывайте любой сбой в атаку.

Что проверять раз в месяц

Еженедельный обход ловит поломки на виду. Раз в месяц копните чуть глубже - часть проблем накапливается тихо.

1. Восстановите бэкап для проверки. Не поверх рабочего магазина, а отдельно - например, на тестовой копии. Откройте товары, заказы и оформление. Файл бэкапа, который не удается восстановить, мало чем поможет.
2. Пересмотрите плагины. Есть ли обновления? Не забросил ли разработчик какое-то расширение? Разбор о том, как проверить заброшенный плагин WordPress, поможет выбрать замену, а не удалить сгоряча то, на чем держится касса.
3. Проверьте PHP и учетные записи. Узнайте версию PHP на хостинге, сверьте ее с требованиями плагинов. Затем просмотрите администраторов и пользователей с ролью Shop Manager. Бывшим сотрудникам и подрядчикам доступ пора закрыть.
4. Сверьте налоги и суммы при оформлении. С 1 июля 2025 года стандартная ставка НСО в Эстонии выросла до 24%. Проверьте применимые настройки налогов WooCommerce, цены на страницах и итоговую сумму в корзине. Не ставьте 24% автоматически на все продажи по ЕС - для трансграничных заказов разберитесь со своими правилами налогообложения.
5. Проверьте платежные подключения. Работает ли плагин Montonio, Maksekeskus/Makecommerce или банковской ссылки? У кого есть доступ к его API-ключам? В письма техподдержке ключи не вставляйте.
6. Пройдитесь по мелочам. Приходят ли уведомления о недоступности сайта, не заканчивается ли срок SSL-сертификата? Неиспользуемые плагины и темы удалите, но сначала убедитесь, что они правда не нужны.

И еще проверьте контакты в реестре .ee и адреса для уведомлений магазина. Письма должны попадать живому человеку. Две минуты сейчас - куда меньше путаницы потом.

После каждого обновления - тест на 10 минут

Зеленая надпись «обновлено» ничего не говорит о работе кассы. Откройте магазин в приватном окне, положите товар в корзину, выберите пакомат и дойдите до оплаты. Где возможно, используйте тестовый режим; иначе - небольшой реальный заказ. Потом проверьте письмо покупателю, статус заказа в WooCommerce и счет в бухгалтерской системе.

Локальные интеграции иногда ломаются после обновления PHP или WooCommerce без всякого шума. Карточка товара красивая, а список пакоматов пустой. Если шаг не прошел, запишите, какой плагин вы обновили и когда. Если нужно, восстановите сайт из бэкапа или откатите обновление, а затем повторите тест. И да, проверьте телефон: далеко не все покупают с компьютера.

Если заметили что-то странное

Не спешите стирать логи и переустанавливать плагины. Если могли пострадать данные покупателей или оформление заказа, сохраните следы и быстро зовите помощь.

• Сохраните доказательства. Логи, подозрительные адреса страниц, время событий и связанные письма. RIA советует хранить логи минимум год.
• Остановите рискованные продажи. Если под вопросом прием карт или касса, переведите магазин в режим обслуживания на время проверки. Принимать платежи через подозрительную форму - плохая затея.
• Закройте доступ. Смените пароли и затронутые API-ключи, проверьте, кто еще может войти. Неясно, откуда зашли атакующие? Попросите специалиста помочь ограничить их доступ.
• Сообщите об инциденте. Свяжитесь с CERT-EE через raport.cert.ee или по круглосуточному номеру +372 663 0299. Если утекли персональные данные, оцените, нужно ли уведомлять Andmekaitse Inspektsioon - Инспекцию по защите данных - по статье 33 GDPR. Для инцидента, о котором требуется сообщить, общий срок - 72 часа с момента, когда вы о нем узнали.

Делать самим или передать специалистам?

Если вы умеете проверить восстановление бэкапа и пройти неудачный заказ через платежный и доставочный плагины, большую часть рутины осилите сами. Но если обновления лежат месяцами, потому что никто не хочет рисковать пятничными продажами, лучше передать проверки тому, кто их правда сделает.

Обслуживание WordPress начинается от 39 € в месяц; для интернет-магазинов с проверкой WooCommerce и платежей - от 59 € в месяц плюс НСО, включая очистку взломанного сайта. Простой магазин можно собрать от 690 €. Если старая касса держится на хрупких плагинах без поддержки, безопасная разработка магазина WooCommerce может обойтись разумнее, чем бесконечные заплатки.

Начните с одного заказа

Сегодня оформите тестовый заказ и не останавливайтесь на странице «Спасибо». Выберите пакомат. Проверьте результат оплаты, письмо покупателю и счет в учетной системе. Если на каком-то шаге ответ звучит как «вроде обычно работает», вот вам первый пункт в плане проверок.