Как обезопасить веб–сайт

В этой статье мы расскажем вам, как обезопасить сайта от атак. Обязательно используйте SSL-сертификат и протокол HTTPS; также есть и другие способы защиты сайтов от хакеров и вредоносных программ.

Шаги

Загрузить PDF

1
Регулярно обновляйте сайт. Если не обновлять программное обеспечение, безопасность и скрипты сайта, его могут взломать злоумышленники или атаковать вредоносные программы.
- Это же касается патчей от вашего хостинга (если они есть). Если доступны новые патчи для вашего сайта, обязательно установите их.
- Также обновляйте сертификаты сайта. Хотя они влияют на безопасность лишь косвенно, это гарантирует, что сайт продолжит появляться в поисковых системах.
2
Используйте программы для обеспечения безопасности или плагины. Существуют различные брандмауэры для веб-сайтов, на которые можно подписаться и обеспечить постоянную защиту; также некоторые хостинги (например, WordPress) предоставляют плагины для защиты сайтов. Поэтому рекомендуем защитить сайт программным обеспечением, как вы защищаете компьютер с помощью, например, антивируса.^{[1]XИсточник информации}
- Sucuri Firewall — отличный платный брандмауэр; бесплатные брандмауэры или плагины для защиты сайтов есть у WordPress, Weebly, Wix и других служб хостинга.
- Брандмауэры веб-приложений, как правило, являются облачными, то есть скачивать их и устанавливать на компьютере не нужно.
3
Запретите пользователям загружать файлы на сайт. Если не сделать это, безопасность сайта пострадает. Если возможно, удалите с сайта все, что позволяет пользователям загружать файлы на сайт.
- Если запретить загружать файлы нельзя, разрешите загрузку только определенных типов файлов, например, JPG-файлов в случае фотографий.
- Также можно создать почтовый ящик, а электронный адрес указать на сайте, чтобы пользователи связывались с вами по электронной почте. В этом случае пользователи будут отправлять файлы на электронную почту, а не загружать их на сайт.
4
Установите сертификат SSL. Он подтверждает, что веб-сайт защищен и может обмениваться зашифрованной информацией между сервером и браузером пользователя. Как правило, за пользование этим сертификатом нужно платить раз в год.^{[2]XИсточник информации}
- На платной основе SSL-сертификат распространяют, например, GoGetSSL и SSLs.com.
- Бесплатно этот сертификат выдает Let's Encrypt.
- При выборе SSL-сертификата доступны три опции: проверка домена, проверка бизнеса и расширенная проверка. Google требует проверки бизнеса и расширенной проверки, чтобы слева от URL-адреса вашего сайта отображался зеленый значок безопасности.^{[3]XИсточник информации}
5
Пользуйтесь протоколом шифрования HTTPS. Когда вы установите SSL-сертификат, сайт получит право на HTTPS-шифрование; чтобы активировать этот протокол, установите SSL-сертификат в раздел «Certificates» (Сертификаты) своего веб-сайта.^{[4]XИсточник информации}
- Некоторые хостинги, например, WordPress или Weebly, автоматически активируют протокол HTTPS.
- Сертификат HTTPS обновляется каждый год.
6
Устанавливайте безопасные пароли. Надежного пароля администратора сайта не достаточно — создайте сложные случайные пароли, которые нигде не используются, и храните их вне сайта.^{[5]XИсточник информации}
- Например, в качестве пароля используйте 16-значный набор букв и цифр. Этот пароль сохраните в файле на другом компьютере или жестком диске.
Если папка с конфиденциальными файлами называется «Admin» или «Root», это удобно, но, к сожалению, как для вас, так и для хакеров. Поэтому переименуйте папки на что-то обыденное, например, «Новая папка (2)» или «История».^{[6]XИсточник информации}
8
Упростите сообщения об ошибках. Если в таком сообщении слишком много информации, хакеры и вредоносные программы могут воспользоваться ею, чтобы найти и получить доступ к корневому каталогу сайта. Поэтому в сообщение об ошибке добавьте просто короткое извинение и ссылку на основной сайт.^{[7]XИсточник информации}
- Это относится ко всем ошибкам с кодом от 404 до 500.
9
Хешируйте пароли. Если пароли пользователей хранятся на веб-сайте, делайте это в хешированном виде. Неопытные владельцы сайтов хранят пароли как текст, что упрощает их кражу в случае взлома сайта.
- Даже большие сайты, такие как Twitter, в прошлом допускали такие ошибки.
Реклама

Советы

Воспользуйтесь услугами консультанта по веб-безопасности, чтобы он или она ознакомились со скриптами сайта — это самый быстрый (но и самый дорогой) способ устранения потенциальных уязвимостей.
Протестируйте веб-сайт с помощью инструмента для проверки безопасности (например, Observatory от Mozilla), прежде чем запустить его.

Предупреждения

Зачастую уязвимости безопасности не обнаруживаются, пока кто-то не пострадает. Чтобы избежать негативных последствий, регулярно (раз в неделю) создавайте резервные копии веб-сайта и храните их на компьютере, который не подключен к сети, или на внешнем жестком диске.