Захист сайту від злому
Оновлюємо застаріле, закриваємо службові розділи, обмежуємо перебір паролів і перевіряємо, що копії відновлюються. Починаємо з безкоштовного розбору.
Добрий супровід у звичайний день не видно: сайт просто працює. Щоб так і лишалось, потрібні три різні роботи, і розділи нижче зібрані саме за ними. Безпека — це резервні копії, з яких перевірено відновлення, і закриті вразливості, які автомати перебирають на всіх сайтах підряд. Моніторинг — щоб про падіння ви дізнались від системи, а не від покупця. Супровід — оновлення, стеження за строками домену й сертифіката, дрібні правки й адміністрування сервера. Частина робіт разова, частина йде щомісяця; з чого почати, покаже безкоштовна технічна перевірка. 31 липня 2026 року ми зняли показники з живих магазинів: на кількох працював PHP 7.3.33, який не отримує оновлень безпеки з грудня 2021 року.
Робота магазину ніяк не пов'язана з тим, чи виходять для нього оновлення безпеки. Це помітно в день, коли знайдену діру починають використовувати.
Оновлюємо застаріле, закриваємо службові розділи, обмежуємо перебір паролів і перевіряємо, що копії відновлюються. Починаємо з безкоштовного розбору.
Копії бази й файлів поза сервером, із шифруванням і регулярним тестовим відновленням. Починаємо з безкоштовної перевірки того, що у вас зараз.
Моніторинг, оновлення, резервні копії з перевіркою відновлення й фіксований час реакції на аварію. Копія, з якої не відновлювались, — ще не копія.
Усі 3Оновлення системи, місце на диску, сертифікати, кешування, перевірка резервних копій і передбачуване викочування змін. Починаємо з безкоштовного огляду сервера.
Оновлення платформи, резервні копії з перевіркою відновлення, моніторинг доступності й перевірка форм. Починаємо з безкоштовної технічної перевірки сайту.
Моніторинг, резервні копії з перевіркою відновлення, оновлення платформи й фіксований час реакції. Починаємо з безкоштовної технічної перевірки.
Магазин чи сайт працює кілька років, підрядник зник або змінився, і ніхто не знає, які версії стоять під ним. Тут потрібен супровід: спершу розгрібання накопиченого, потім регулярний цикл.
Розберемо вашу ситуацію на безкоштовному аудитіСайт лежав уночі, форма тиждень не надсилала заявки, а у звітах видно лише провал, який списують на сезон. Моніторинг перевіряє не лише код відповіді, а й вміст сторінок і кошик — і повідомляє про збій одразу, з окремими правилами для ночі.
Хостинг щось копіює, але де лежать файли, наскільки вони глибокі й чи піднімається з них сайт — невідомо. Розділ про резервні копії саме про це: зберігання поза сервером, шифрування й тестове відновлення за розкладом.
Сайти рідко ламають адресно: їх знаходить програма, що обходить тисячі адрес і шукає відомі вразливості. Якщо платформу й модулі роками не оновлювали, захист починається з того, щоб закрити саме те, що вона шукає.
Проєкт переріс спільний хостинг або сервер лишився від попереднього підрядника. Закінчення місця на диску, прострочений сертифікат і версія без підтримки передбачувані за місяці, але стаються раптово, якщо за ними ніхто не стежить.
Дивимось, що стоїть під сайтом, де лежать копії й чи з них відновлювались, коли спливають домен і сертифікат. Звідси видно, чи потрібна разова робота, щомісячний супровід або те й інше.
Ділимо знайдене на термінове й те, що може почекати, і фіксуємо обсяг письмово. Якщо сайт занедбаний, розгрібання оформлюємо окремою роботою, а не розмазуємо по абонементу.
Оновлення по кроках із перевіркою на копії, закриття вразливостей, налаштування копій і моніторингу. Строк залежить від того, як довго сайт ніхто не оновлював.
Перше тестове відновлення показує, скільки насправді займає повернення сайту з копії. Пороги моніторингу підкручуємо, доки не зникнуть хибні тривоги.
Оновлення в погодженому вікні, перевірка копій, стеження за строками й дрібні правки. Раз на місяць — звіт: що зроблено, що знайдено й що варто зробити далі.
Захист від злому, налаштування копій і моніторингу, приведення сервера до ладу — разові роботи зі строком і актом. Супровід — щомісячний цикл, щоб знайдене не поверталось. Найчастіше порядок такий: спершу разово навести лад, потім вести. Брати щомісячну оплату за нагляд над безладом ми не будемо — це була б плата за терпіння, а не за роботу.
Обсягом перевірок. У магазині ламається те, що одразу коштує грошей: оплата, кошик, накладні, вивантаження товарів, і перевіряти це треба щодня. На сайті без магазину поломка тиха: форма перестала надсилати заявки, і телефон просто мовчить. Тому це дві окремі сторінки з різним складом робіт.
Хостинг стежить за собою, а не за вашим сайтом: сервер може працювати, поки магазин віддає порожню сторінку. З копіями так само — питання не в тому, чи вони є, а де лежать і чи з них хтось відновлювався. На власному проєкті ми сім місяців не знали, що копії не створюються, і виявили це лише під час планової перевірки відновлення.
Про падіння ви дізнаєтесь із моніторингу, а не від покупця. Чи будити когось уночі — рішення, яке ухвалюється наперед: для магазину з нічними замовленнями й активною рекламою зазвичай так, для корпоративного сайту вистачить повідомлення до ранку. Реакція поза робочими годинами — окремий рівень, і він прописується в договорі.
Може, якщо оновлювати наосліп на живому сайті. Тому оновлення спершу ставимо на копію й перевіряємо модулі там, а через кілька версій переходимо кроками. Іноді з'ясовується, що модуль не працює на новій версії й автор його вже не підтримує — краще дізнатись це на копії, ніж у кошику покупця.
Ні, і той, хто таке гарантує, каже неправду. Ми закриваємо відоме сьогодні й прибираємо передбачувані причини падінь: місце на диску, прострочені сертифікати, версії без підтримки. Завтра знайдуть нову вразливість у платформі чи модулі — тому поруч із захистом завжди стоїть копія, з якої перевірено відновлення.
Це інша задача з іншим порядком дій, і вона не входить у жодну з послуг цього розділу. Спершу треба з'ясувати, що саме зробили, коли й чи лишились сліди, і лише потім закривати діри. Заражений сайт на підтримку беремо тільки після окремого лікування. Якщо чужі файли знаходяться під час нашого розбору, кажемо про це одразу й переоцінюємо роботу.
Візьмемо, але чесно поділимо на дві частини: перший місяць — розгрібання накопиченого, далі — регулярний цикл. Наскільки великою буде перша частина, покаже безкоштовна перевірка. Змішувати їх в одну щомісячну суму неправильно: це різні обсяги робіт, і так ви бачите, за що саме платите.
Опишіть задачу своїми словами — підкажемо, з чого починати, і чи потрібне вам те, за чим ви прийшли. Якщо не потрібне, так і скажемо.