Если у вас сайт на WordPress, но своего технаря нет - это вообще не редкость. У маленького бизнеса так сплошь и рядом: сайт делал фрилансер три года назад, потом пропал, а сайт остался на вас. И вот тут начинается самое интересное. Апдейты висят. Бэкапы вроде есть, но никто не проверял. Плагинов 27 штук, половина «временно». Знакомо?
Хорошая новость - нормальный план безопасности можно собрать и без программиста. Не идеальный. Не уровень банка. Но такой, который реально закрывает 80% обычных проблем: взломы через старые плагины, подбор пароля, кривые апдейты, падение сайта после очередного «ой». Для маленького магазина, сайта услуг или корпоративного сайта этого обычно хватает.
Сначала - не про плагины, а про голову
Честно говоря, главная ошибка не в том что люди не ставят защиту. Ошибка в другом - они думают, что безопасность сайта это «поставил один плагин и забыл». Не-а.
План безопасности - это не одна кнопка. Это 5-6 простых вещей, которые работают вместе. Если выпадает хоть одна, уже неприятно. Например, у вас может стоять файрвол, но нет бэкапов. И что толку, если после неудачного апдейта сайт лег? Или есть бэкап, но пароль от админки «Manager2022». Ну вы поняли.
Так что смотрите на сайт как на маленький магазин с сигналкой, запасным ключом и камерой. Одной сигналки мало.
Шаг 1. Понять, что у вас вообще есть
Вот это скучно, но без этого дальше каша. Потратьте 20-30 минут и соберите базовую картину.
- какая версия WordPress стоит
- какая версия PHP на хостинге
- сколько плагинов активно
- когда последний раз обновляли сайт
- есть ли бэкапы и где они лежат
- у кого есть доступ в админку
Если видите PHP 7.4 или, хуже, 7.3 - это уже звоночек. Да, сайт может работать. Но это старая история. То же самое с плагинами, которые «не обновлялись 2 года». Видел, как из-за одного заброшенного слайдера сайт получал бэкдор, а владелец потом неделю чистил рекламный спам из базы.
И да - удалите все, чем не пользуетесь. Не деактивируйте «на всякий случай», а удалите. Старый плагин в архиве сайта - это все равно лишняя поверхность атаки.
Шаг 2. Закрыть вход - это быстро и почти бесплатно
Самый частый и тупой сценарий взлома - слабый пароль или утекший логин. Не киношный хакер в худи, а банальный бот, который ломится в wp-login.php сотни раз.
Что тут делать:
- Сменить всем админам пароли на длинные. Не «Masha2024!», а что-то реально длинное, через менеджер паролей.
- Убрать лишних юзеров. Если у бывшего подрядчика до сих пор доступ - закройте сегодня же.
- Включить 2FA. Это занимает минут 10, зато сильно режет риск. Вот нормальный вариант: двухфакторная аутентификация для WordPress.
- Поставить защиту входа: лимит попыток, блокировки, уведомления о странных логинах.
По деньгам это часто вообще ноль или копейки. По времени - ну, полчаса. А пользы больше, чем от многих «дорогих аудитов безопасности» которые маленькому бизнесу просто не нужны.
Шаг 3. Апдейты - без героизма, но по графику
Короче, обновления - это не «когда будет время». Это часть рутины. Потому что очень много взломов идет через уже известные дыры в плагинах. Не через магию, а через старую версию, для которой эксплойт лежит в паблике.
Оптимальный вариант для малого бизнеса такой:
- раз в неделю заходите в админку и смотрите обновления
- перед крупными апдейтами делаете бэкап
- сначала обновляете на тестовом сайте, если у вас магазин или важные интеграции
- после обновления проверяете формы, корзину, оплату, письма
Если сайт простой - обновление занимает 15-20 минут. Если WooCommerce, доставки, CRM и еще пачка кастомщины - час, а иногда и больше. Но это все равно дешевле, чем потом чинить сломанный заказ или ловить малварь.
Кстати, если не хотите держать это в голове, проще отдать на обслуживание WordPress. Для бизнеса это часто самый вменяемый вариант - фиксированная ежемесячная история вместо хаоса «сломалось - срочно ищем кого-нибудь».
Шаг 4. Бэкап - это не галочка
Вот тут многие спотыкаются. «У нас есть бэкапы» еще ничего не значит. Где они? Как часто делаются? Можно ли из них поднять сайт? Кто это проверял? Обычно - никто.
По-хорошему у вас должно быть так:
- ежедневный бэкап файлов и базы для магазина
- минимум еженедельный - для обычного сайта услуг
- копии хранятся не только на том же хостинге
- раз в пару месяцев вы тестируете восстановление
Иначе это не план, а надежда. А надежда в техподдержке плохой инструмент. На эту тему советую отдельно прочитать: Бэкап - это еще не план восстановления. В чем разница. Там как раз про ту самую дыру между «копия есть» и «сайт реально можно вернуть».
Шаг 5. Проверка уязвимостей и базовый мониторинг
Вот это уже ближе к нормальной защите, а не к реакции задним числом. Вам не нужно сидеть и читать CVE-ленты вручную. Честно, большинству владельцев бизнеса это вообще ни к чему. Нужен простой инструмент, который скажет: «у вас плагин X дырявый, обновите». Все.
Для этого есть проверка уязвимостей WordPress. Обычно такие штуки стоят недорого по подписке, а время экономят прилично. Особенно если на сайте не 5 плагинов, а 40 с хвостом и вы уже не помните, зачем половину ставили.
Плюс базовый мониторинг:
- сайт открылся или нет
- не изменились ли системные файлы
- не появилось ли что-то похожее на вредоносный код
- не пошли ли массовые ошибки после апдейта
Это не роскошь. Это способ узнать о проблеме раньше клиента, который пишет: «у вас чо-то сайт в редирект на казино уводит». Да, и такое бывает.
Шаг 6. Заранее решить, что делать если все-таки взломали
Самая нервная часть - когда сайт уже заражен, а плана нет. Тогда люди начинают метаться: удаляют файлы наугад, ставят 4 «антивируса», ломают тему, теряют заказы. Плохая идея.
Нормальный план реакции выглядит так:
- Ограничить доступ - временно закрыть сайт или админку.
- Связаться с хостингом и уточнить, что они видят по логам.
- Сделать копию текущего состояния сайта до чистки.
- Проверить, откуда зашли: плагин, пароль, старая учетка.
- Почистить сайт и сменить все пароли.
- Обновить ядро, плагины, тему. Удалить мусор.
Если хотите понять признаки заранее, вот полезный материал: как понять, что ваш сайт на WordPress взломали. Очень советую пробежать глазами сейчас, а не когда уже поздно.
И важный момент - не всегда стоит «лечить» сайт самому. Если у вас интернет-магазин, заявки, персональные данные клиентов, интеграции с оплатой - лучше не ковыряться вручную. Один неудачный шаг, и следы взлома потеряны, а сайт остался грязным. Такие штуки тянут часы, иногда целый день, а иногда два.
Простой рабочий план на месяц
Если все это свести к жизни, а не к теории, то для владельца малого бизнеса план выглядит примерно так:
Раз в неделю: проверить обновления, просмотреть доступы, убедиться что сайт открывается и формы работают.
Раз в месяц: проверить бэкапы, удалить ненужные плагины и темы, посмотреть предупреждения по уязвимостям.
Раз в квартал: сменить пароли администраторам, пересмотреть список юзеров, протестировать восстановление из бэкапа.
Сразу: включить 2FA, навести порядок с доступами, обновить все что отстало, убрать мусор.
Все. Без фанатизма. Без дорогих энтерпрайз-штук которые маленькому сайту ни к чему.
Итог
На самом деле безопасность WordPress без программиста - вполне реальная задача. Не в том смысле, что вы теперь сами админ на все руки. А в том, что можно собрать понятную систему: апдейты, бэкапы, защита входа, проверка уязвимостей, базовый мониторинг и план на случай взлома.
Этого уже много. Правда.
Главное - не ждать «как-нибудь потом». Потому что потом обычно приходит в виде письма от хостинга, жалобы клиента или черного экрана вместо главной страницы. А вот это уже дороже, дольше и нервнее.
Лучше полчаса сегодня, чем аврал в пятницу вечером. Ну вы же понимаете.