Защита сайта: минимум, который реально спасает

Первая: устаревшая CMS или плагины — известные уязвимости публикуются, и боты за сутки обходят миллионы сайтов в поиске непропатченных. Вторая: слабые пароли и «admin» в качестве логина — перебор занимает часы. Третья: вирус на компьютере того, кто работает с сайтом — злоумышленнику не нужно ломать сайт, если пароль сдаётся сам. Все три двери закрываются рутиной, а не дорогими системами.

Длина важнее сложности: «kuda-ya-zhmayu-etu-knopku» взломать сложнее, чем «X#9k!», и запомнить проще. Отдельный пароль для админки — не тот, что у почты. Двухфакторная аутентификация там, где поддерживается. Доступ к админке по IP или хотя бы нестандартный адрес входа — отсекает 90% автоматических атак. Пароль от хостинга хранится в менеджере паролей, а не в заметках телефона.

Пароли предотвращают, бэкапы спасают. Правило 3-2-1 в миниатюре: три копии, на двух разных носителях, одна вне сервера. Автоматический бэкап раз в неделю минимум, ежедневно — если сайт обновляется. И главное: бэкап надо один раз проверить восстановлением. Бэкап, который не восстанавливается — это не бэкап, это надежда.

Признаки: в поиске по сайту появились чужие страницы (азартные, фарма) — «паразитный индекс». Сайт помечается «сайт может быть опасен» в браузере или выдаче. Из админки пропали элементы или появились новые пользователи. Трафик скачет без причин. Редирект на другой сайт с мобильных. Действия: изолировать (временно ограничить доступ), восстановить из чистого бэкапа, сменить все пароли, найти дыру. Среднее время восстановления при наличии бэкапа — день, без — недели и потеря позиций.