Взлом сайта — это не «страшилка из интернета». В 2025 году хакеры автоматически сканируют сайты в поиске уязвимостей. Под ударом и блог на WordPress, и интернет-магазин, даже простой сайт-визитка.
Последствия взлома: потеря трафика, санкции поисковиков, кража базы клиентов, рассылка спама с вашего сервера. А иногда — полное удаление всех файлов.
Хорошая новость: 90% взломов происходят из-за простых ошибок, которые исправляются за 15 минут. В этой статье — 5 шагов для защиты сайта. Никаких сложных настроек.
Шаг 1. Сложные пароли — везде, даже для тестовых аккаунтов
Чего делать нельзя:
- ❌ Пароль «123456», «qwerty», «admin»
- ❌ Один пароль для админки, хостинга, FTP и почты
- ❌ Пароль, совпадающий с логином (admin:admin)
Как сделать правильно:
- ✅ Используйте менеджер паролей (бесплатные: Bitwarden, KeePass). Он генерирует сложные пароли и хранит их в зашифрованном виде
- ✅ Пароль должен быть длиной 12+ символов, содержать буквы в разном регистре, цифры, символы
- ✅ Обязательно удалите тестовых пользователей (не оставляйте demo, test, user)
Пример хорошего пароля: G7h!kL9#pQ2&mX4 (сгенерирован менеджером). Вы его не запомните — и хакер не подберёт.
Шаг 2. Двухфакторная аутентификация (2FA)
2FA — когда после ввода пароля нужно ввести ещё одноразовый код из приложения на телефоне. Даже если пароль украли, без кода не зайти.
Как настроить на WordPress:
- Установите плагин Google Authenticator (бесплатный) или Wordfence Login Security
- Скачайте приложение Google Authenticator (iOS/Android)
- Отсканируйте QR-код из настроек плагина
- Входите в админку — вводите логин, пароль и код из приложения
Для CMF и самописных сайтов: 2FA настраивается через библиотеки (например, для PHP — PHPGangsta/GoogleAuthenticator). Попросите разработчика или поищите готовый модуль под вашу CMS.
На хостинге и в почте: Почти все современные сервисы (Яндекс.Почта, Gmail, Timeweb, Beget) поддерживают 2FA. Включите в настройках безопасности.
Шаг 3. Регулярные обновления — всё, всегда
Уязвимости в старых версиях CMS, плагинов и тем — главный вход для хакеров. Как только выходит обновление, хакеры начинают сканировать сайты, которые его не установили.
Что обновлять:
- ✅ CMS (WordPress, Joomla, Drupal, 1C-Битрикс) — до последней версии
- ✅ Все плагины и модули — даже те, которые не используете (удалите неиспользуемые)
- ✅ Тему сайта — не только дочернюю, но и родительскую
- ✅ PHP и базу данных — обычно обновляется на хостинге (выберите актуальную версию PHP — сейчас 8.1, 8.2, 8.3)
Как легко обновляться на WordPress:
- Включите автоматические обновления для минорных версий (в wp-config.php строка:
define('WP_AUTO_UPDATE_CORE', 'minor');) - Для плагинов — плагин Easy Updates Manager (бесплатный)
- Проверяйте обновления раз в неделю — это занимает 5 минут
Шаг 4. Плагин безопасности
Плагин безопасности — это охрана вашего сайта. Он блокирует подбор паролей, сканирует файлы на вирусы, закрывает доступ к важным папкам.
Лучшие бесплатные плагины для WordPress:
- Wordfence Security — самый популярный. Включает файрвол, сканер вредоносного кода, блокировку брутфорса, 2FA. Бесплатной версии достаточно для большинства сайтов.
- iThemes Security — тоже бесплатный. Меняет стандартный /wp-admin на свой адрес, запрещает доступ к файлам конфигурации, переименовывает таблицу пользователей.
- All In One WP Security & Firewall — простой для новичков.
Что обязательно настроить в плагине:
- ✅ Блокировка подбора паролей (bruteforce) — после 3-5 неудачных попыток входа, IP блокируется
- ✅ Сканирование файлов — раз в неделю проверять на изменения
- ✅ Защита файлов wp-config.php и .htaccess — запретить доступ из браузера
- ✅ Смена префикса базы данных (если он по умолчанию wp_)
Для других CMS: Ищите аналогичные модули безопасности (для Joomla — RSFirewall, для Drupal — Security Kit).
Шаг 5. Регулярные бэкапы — ваша последняя линия обороны
Бэкап — это резервная копия сайта. Если взлом произошёл, вы просто восстанавливаетесь из чистой копии, сделанной до взлома.
Правило бэкапов: храните минимум в 2 разных местах. Одно — на хостинге, другое — на облачном диске (Яндекс.Диск, Google Drive, Dropbox) или на своём компьютере.
Бесплатные способы делать бэкапы:
- Для WordPress: плагин UpdraftPlus (бесплатный). Настройте автоматический бэкап на Яндекс.Диск или Google Drive раз в день.
- У многих хостингов есть бесплатное резервное копирование: Beget, Timeweb, Reg.ru, Spaceweb — проверьте в панели управления, часто можно сделать бэкап одной кнопкой.
- Ручной бэкап через FileZilla + phpMyAdmin: скачайте все файлы и экспортируйте базу данных. Подходит для совсем небольших сайтов.
Частота бэкапов:
- Если сайт обновляется 1 раз в неделю → бэкап раз в неделю
- Если интернет-магазин → бэкап раз в день
- Если новостной портал с десятками постов в день → бэкап раз в 3-4 часа (но для этого нужен платный плагин или VPS)
Бонус. Что делать, если сайт уже взломали
Краткая инструкция:
- Срочно свяжитесь с хостингом — они могут временно приостановить сайт (чтобы не распространялся вирус).
- Смените все пароли — админка, FTP, база данных, хостинг, почта.
- Восстановитесь из последнего чистого бэкапа (см. шаг 5). Если бэкапа нет — наймите специалиста по очистке.
- Обновите всё до последних версий (CMS, плагины, тему).
- Запросите удаление сайта из чёрных списков через Яндекс.Вебмастер и Google Search Console.
Чек-лист: проверьте свой сайт за 15 минут
- ☐ Пароль админки сложный (12+ символов, менеджер паролей)
- ☐ Включена двухфакторная аутентификация (2FA)
- ☐ Все плагины, тема, CMS обновлены до последней версии
- ☐ Установлен и настроен плагин безопасности (Wordfence или iThemes Security)
- ☐ Настроены автоматические бэкапы (UpdraftPlus на Яндекс.Диск)
- ☐ Старые/неиспользуемые плагины удалены
- ☐ Удалён тестовый пользователь (demo, test, admin2)
Если на все пункты ответ «да» — ваш сайт защищён от 95% взломов. Остальные 5% — это целевые атаки, но они почти никогда не происходят на сайтах новичков и среднего трафика.
Защита сайта — это не сложно и не дорого. Это 15 минут раз в неделю. Начните прямо сейчас — с пароля и 2FA.
Монетизировать защищённый сайт — реклама приносит доход, а не риски
Защищённый сайт — спокойный сон вебмастера.