Защита сайта: от ботов, DDoS, спама в формах и взлома — что настроить малому бизнесу

От чего реально нужно защищать сайт компании

Сайт компании чаще всего страдает от четырёх угроз: массового взлома через уязвимости и пароли, спама в формах, накрутки ботами и атак на доступность. Целевая атака с изучением именно вашего бизнеса встречается гораздо реже, зато к боту, который обходит миллионы адресов, размер компании отношения не имеет.

Сайт похож на магазин у дороги. Вор не выбирает именно ваш магазин: он идёт вдоль улицы и дёргает все двери. Поэтому хороший замок, сигнализация и страховка решают почти всё, а бронированные стены нужны редко. Замок на сайте — обновления и пароли, сигнализация — уведомления и журналы, страховка — резервная копия.

Цифры по самой популярной системе подтверждают такую картину. В отчёте Patchstack за 2025 год насчитали 11 334 новые уязвимости в экосистеме WordPress, это на 42% больше, чем годом ранее. Из них 91% пришлось на плагины, 9% на темы, а в самом ядре нашли только 6 уязвимостей низкой опасности. Patchstack продаёт защиту, поэтому выводы компании читайте с поправкой, но сами цифры показывают: дыра почти всегда в дополнении, которое поставили и забыли.

Международный рейтинг рисков OWASP Top 10:2025 тоже говорит про обыденные вещи. На первом месте нарушение контроля доступа, на втором неправильная настройка, а сбои входа занимают седьмое место. Перевод на простой язык: кто-то видит то, что не должен, настройки оставлены как попало, пароли слабые.

Какие угрозы бывают: таблица с признаками и ценой защиты

Защита сайта подбирается под конкретную угрозу, потому что универсальной кнопки не существует. Таблица показывает, как угроза выглядит со стороны владельца и во что примерно обойдётся её закрытие.

Если подозреваете, что заражение уже случилось, переходите сразу к инструкциям: как проверить сайт на вирусы и что делать, если взломали сайт. Эта статья про то, как довести дело до такого момента реже.

Как защитить форму на сайте от спама

Форму защищают тремя слоями: скрытое поле-ловушка, проверка данных на сервере и капча, которая показывает задание только подозрительным посетителям. Каждый слой ловит свой вид ботов, а вместе они не мешают живым людям.

SmartCaptcha от Яндекса — это сервис, который анализирует запросы алгоритмами и показывает задание только подозрительным посетителям. Документация описывает два режима: обычный, когда проверка запускается кнопкой, и невидимый, когда разработчик выбирает момент сам.

Цены по странице тарифов от 16 октября 2026 года: в примерах первые 10 000 запросов в месяц не оплачиваются, с 10 001 по 100 000 тысяча запросов стоит 109,8 ₽, свыше 100 000 тысяча запросов стоит 76,86 ₽, цены с НДС. Сайт с несколькими тысячами отправок формы в месяц в бесплатный объём укладывается.

Главная ошибка при установке — проверять результат только в браузере. Токен обязательно отправляется на сервер, где запрос к /validate подтверждает проверку, иначе бот просто пропустит этот шаг. Заодно разработчик должен решить, что делать при сбое сервиса: документация рекомендует при HTTP-ошибках считать проверку пройденной, чтобы не задерживать человека.

Защита не должна мешать заявке. Если человек дважды выбирает светофоры, он может закрыть вкладку. Как устроить саму форму, чтобы её заполняли, мы разобрали в статье форма заявки на сайте.

Что такое DDoS и нужна ли защита малому бизнесу

DDoS-атака — это поток запросов с множества устройств, который перегружает сайт, и настоящие посетители перестают до него достучаться. Сайт при этом обычно не взломан: он просто занят ответами мусорному трафику.

Отдельная защита нужна не всем. Посмотрите на три признака:

• простой на час или день приносит ощутимые потери: заказы идут круглосуточно, включена дорогая реклама, идёт сезонный пик;
• у вас есть конкуренты, которые могут заказать атаку, или вы уже получали угрозы;
• атаки случались раньше.

Для сайта услуг с умеренным трафиком часто хватает защиты, которую предлагает хостинг или конструктор. Уточните в поддержке, что именно входит: какой уровень атак фильтруется и что будет с сайтом при превышении. При сильной атаке хостинг может временно отключить сайт, чтобы защитить соседей, поэтому условия лучше знать заранее.

Для более серьёзных случаев есть облачные сервисы. По странице тарифов Yandex Smart Web Security от 2 ноября 2026 года:

В примере на этой странице первые 10 000 запросов в месяц не тарифицируются, а защита доменов считается отдельно: при её включении резервируются минимум 6 ресурсных единиц с почасовой оплатой. Цену единицы страница не указывает. Защита сетевого уровня подключается отдельным сервисом Yandex DDoS Protection вместе с публичным адресом.

Другие российские сервисы защиты от атак, например Qrator Labs и DDoS-Guard, тоже работают на этом рынке. Подтвердить их актуальные цены по официальным страницам нам не удалось, поэтому сравнивать их цифрами не будем: запрашивайте предложение под свой трафик.

Если посетители у вас в России, инфраструктуру стоит выбирать с учётом этого. Cloudflare сообщала, что с 9 июня 2025 года пользователи из России могут загружать только первые 16 КБ ресурсов сервиса: страницы при этом практически не открываются. Поэтому для сайта с российскими клиентами мы берём российский хостинг и российские сервисы защиты.

Как защитить сайт от ботов

От ботов защищаются фильтрацией запросов на подходе к сайту: ограничением частоты, правилами для подозрительных адресов и капчей там, где бот может навредить. Полностью убирать всех ботов нельзя: поисковые роботы Яндекса и другие полезные обходчики нужны сайту.

Бот — это программа, которая ходит по страницам вместо человека. Часть ботов полезна, часть копирует цены, ищет дыры, заполняет формы, кликает по рекламе или создаёт нагрузку.

Порядок действий простой:

1. Посмотрите журналы хостинга: откуда идёт нагрузка, какие адреса запрашивают чаще всего.
2. Закройте от посторонних административные разделы, служебные файлы, резервные копии.
3. Поставьте ограничение частоты запросов на вход в админку и отправку форм.
4. Настройте правила на хостинге или в облаке для адресов и агентов, которые создают мусорную нагрузку.
5. Проверьте, что правила не задели роботов Яндекса: после изменений откройте Вебмастер и посмотрите, обходит ли он страницы.

Для простого сайта этого достаточно. Сервисы защиты с поведенческим анализом имеют смысл там, где ботов много и они стоят денег: например, крупный интернет-магазин с парсингом цен или кабинет с платными услугами.

Как защитить сайт от взлома: обновления, пароли, доступы

Сайт защищают от взлома три привычки: держать систему и дополнения свежими, входить по длинному паролю с двухфакторной проверкой и давать людям минимум прав. Они бесплатны и закрывают основной риск.

Обновления. Документация WordPress требует использовать последнюю версию, потому что старые перестают получать исправления, и советует удалять неиспользуемые плагины и темы. Patchstack отмечает, что эксплуатация иногда начинается за часы, поэтому автообновления для важных исправлений лучше включить, а перед крупными обновлениями делать копию. Бесплатные версии платных плагинов с сомнительных сайтов не ставьте: это прямой путь к зловреду.

Пароли. Американский стандарт NIST SP 800-63B требует пароль минимум из 15 символов, если он единственный фактор входа, и минимум из 8 символов при двухфакторной проверке. Требовать смешанные символы и менять пароль по расписанию стандарт не рекомендует, а менять обязательно при подозрении на компрометацию. Рекомендации OWASP совпадают. Практический вывод: используйте менеджер паролей и включите второй фактор везде, где он есть.

Доступы. Работник, который уволился, и подрядчик, который доделал работу два года назад, часто всё ещё могут войти. Заведите отдельную учётную запись на каждого человека, не раздавайте общий логин администратора, дайте контент-менеджеру права только на контент. Раз в квартал просматривайте список: хостинг, регистратор домена, админка сайта, Метрика, Директ.

Разные платформы требуют разного внимания.

На конструкторе полностью забыть про безопасность не получится: аккаунт и домен остаются вашими. Как сохранить копию данных с Тильды, разобрано в статье про бэкап сайта на Тильде.

Если непонятно, кто сейчас имеет доступ к сайту и когда он обновлялся, это удобнее проверить снаружи, с чек-листом.

Как делать резервные копии сайта

Резервная копия защищает от всего сразу: от взлома, ошибки подрядчика, сбоя хостинга и неудачного обновления. Копия должна быть автоматической, лежать вне основного сервера и восстанавливаться на практике.

Документация WordPress советует делать копии регулярно, включая базу данных, и хранить несколько снимков за разные периоды. Причина простая: заражение могло случиться две недели назад, и вчерашняя копия уже содержит зловред.

Минимальная схема для малого бизнеса:

1. Включите автоматическое копирование на хостинге и проверьте, как глубоко в прошлое оно идёт.
2. Настройте копию файлов и базы данных на внешнее хранилище минимум раз в неделю, для магазинов и сайтов с заявками чаще.
3. Храните несколько версий, например ежедневные за неделю и еженедельные за месяц.
4. Раз в полгода восстановите сайт из копии на тестовый адрес. Копия, которая не восстанавливается, бесполезна.
5. Запишите, кто и как разворачивает копию, и где лежат доступы к хранилищу.

Нужен ли HTTPS для защиты сайта

HTTPS нужен любому сайту, где есть формы, потому что он шифрует данные между браузером и сервером. Взлом HTTPS не предотвращает: злоумышленник с паролем от админки спокойно войдёт и по защищённому соединению.

Поэтому на HTTPS смотрите как на обязательный минимум. Какой выбрать сертификат, мы рассказали в статье SSL-сертификат для сайта, а как перевести старый сайт без потерь позиций, в материале про переход на HTTPS.

Что грозит за утечку данных клиентов с сайта

За утечку персональных данных с сайта компании грозят оборотные и крупные штрафы, а также обязанность уведомить Роскомнадзор. Заявка с именем и телефоном — это уже персональные данные, поэтому закон касается и обычного сайта услуг.

Что говорит закон:

• Статья 19 закона № 152-ФЗ обязывает оператора принимать правовые, организационные и технические меры защиты персональных данных.
• Часть 3.1 статьи 21 требует в течение 24 часов уведомить Роскомнадзор об инциденте.
• Часть 12 статьи 13.11 КоАП РФ за утечку данных от 1 000 до 10 000 субъектов предусматривает штраф для юрлиц от 3 до 5 млн ₽. Более крупные утечки наказываются строже, а за повторную утечку часть 15 устанавливает для юрлиц штраф от 1 до 3% годовой выручки.

Отсюда практический вывод: не храните на сайте то, что не нужно. Заявки после передачи в CRM можно удалять из панели, выгрузки не оставляйте в открытых папках, а доступ к клиентской базе давайте только тем, кому он нужен для работы. Если вы получаете заявки на почту, почта тоже становится частью защиты: включите там второй фактор.

Сколько стоит простой сайта: расчёт на условном примере

Потери от простоя считаются просто: заявки в день × доля продаж × средний чек × дни простоя, плюс впустую потраченная реклама. Условный пример: компания по установке кондиционеров, сайт приносит 12 заявок в день. Сайт лёг на двое суток в сезон.

Часть клиентов вернётся, поэтому честный расчёт стоит уменьшить на эту долю. Сравните итог со стоимостью защиты: при таких цифрах настройка резервного копирования и обновлений окупается с первого предотвращённого случая. Если заражённый сайт попадёт под ограничения поисковика, потери вырастут: по справке Яндекс Вебмастера проверка после исправления нарушения может занимать до 30 дней, а при отказе повторно отправить сайт на проверку можно только через 30 дней после предыдущей отправки.

Мифы про защиту сайта

«Наш сайт маленький, он никому не интересен». Боты не выбирают сайт по размеру. Заражённый сайт становится площадкой для рекламы чужих товаров, рассылки и атаки на других. Patchstack сообщал о более чем 500 000 заражённых сайтов в 2024 году, причём в числе задач злоумышленников были поисковый спам и вредоносные редиректы.

«У нас конструктор, значит, нас не взломать». Серверы конструктора действительно забота платформы, зато ваш аккаунт, домен и подключённые сервисы остаются на вас. Взлом почты или пароль подрядчика могут обойти всю защиту платформы.

«Есть SSL, значит, сайт защищён». Сертификат шифрует соединение и никак не проверяет плагины, пароли и доступы.

«Надо менять пароль каждый месяц». NIST считает такую практику лишней. Частая смена приводит к простым паролям с цифрой на конце. Сильнее работают длинный пароль и второй фактор.

«Плагин безопасности закроет всё». Плагин не отменяет обновлений и может сам содержать уязвимость: на плагины приходится 91% новых уязвимостей WordPress. Ставьте минимум, а базовые настройки делайте на уровне сервера.

«Хостинг делает копии, поэтому за бэкапы можно не волноваться». Хостинг хранит копии в ограниченный срок и обычно на своей же инфраструктуре. Проверьте условия и держите ещё одну копию отдельно.

Чек-лист защиты сайта из 15 пунктов

Чек-лист покрывает основной риск для сайта компании и проходится за один рабочий день. Отметьте, что уже сделано, остальное отдайте разработчику или администратору.

1. Система управления сайтом, тема и все плагины обновлены.
2. Неиспользуемые плагины, темы и старые копии сайта удалены с сервера.
3. Плагины и темы взяты только из проверенных источников.
4. Пароль администратора не короче 15 символов, уникальный.
5. Второй фактор включён в админке, почте, хостинге и у регистратора домена.
6. У каждого сотрудника и подрядчика своя учётная запись с минимальными правами.
7. Старые доступы уволенных и бывших подрядчиков отключены.
8. Вход в админку ограничен по числу попыток.
9. Формы защищены полем-ловушкой, проверкой на сервере и капчей.
10. Сайт открывается по HTTPS, сертификат продлевается автоматически.
11. Автоматическая резервная копия файлов и базы настроена и лежит вне сервера.
12. Восстановление из копии проверено на практике в последние полгода.
13. Домен и хостинг оформлены на компанию, продление оплачивается с запасом.
14. В Яндекс Вебмастере включены уведомления, раздел «Безопасность и нарушения» проверяется.
15. Записан план на случай взлома: кто действует, где лежат доступы, кому звонить.

Если пунктов с галочкой меньше десяти, начинайте с копий и обновлений, потом переходите к доступам.

Когда нет времени разбираться самостоятельно, оставьте заявку: посмотрим сайт и скажем, какие пункты закрыть в первую очередь.