Аудит безопасности сайта

Большинство взломов небольших сайтов — не целевые атаки, а работа автоматических программ. Они круглосуточно перебирают адреса в поисках устаревшей CMS, известной дыры в плагине или пароля «admin123». Взломанный сайт начинает рассылать спам, показывать чужую рекламу, перенаправлять посетителей на мошеннические страницы, а поисковики помечают его как опасный. Аудит безопасности нужен, чтобы закрыть эти двери заранее.

Что мы проверяем

• версии CMS, плагинов, библиотек и серверного ПО — нет ли известных уязвимостей;
• доступы: кто может войти в админку, по FTP и на хостинг, какие пароли, нет ли бывших сотрудников и подрядчиков с доступом;
• вход в административную панель: защита от подбора пароля, двухфакторная авторизация;
• HTTPS и сертификат, перенаправления с HTTP, заголовки безопасности;
• формы и загрузка файлов: защита от спама, подстановки вредоносного кода, загрузки опасных файлов;
• права на файлы и папки, открытые служебные файлы и резервные копии в публичном доступе;
• следы взлома: посторонний код, скрытые ссылки, неизвестные администраторы;
• резервное копирование: есть ли копии, где лежат и восстанавливается ли из них сайт на самом деле.

Отдельно смотрим на то, что обычно забывают: старые тестовые копии сайта на поддоменах, неиспользуемые плагины, которые не удалили, а просто выключили, и доступы, выданные подрядчикам несколько лет назад.

Персональные данные посетителей

Если сайт принимает заявки, он обрабатывает персональные данные, а значит, на него распространяется 152-ФЗ. Проверяем, есть ли согласие на обработку данных в формах, политика конфиденциальности и уведомление о cookie, куда уходят заявки и кто к ним имеет доступ. Утечка базы заявок — это и репутационный, и юридический риск.

Чем этот аудит отличается от технического

Технический аудит смотрит на сайт широко: ошибки, скорость, индексацию, вёрстку. Аудит безопасности глубже разбирает одну тему — насколько сайт защищён от атак и потери данных. Мы работаем только с сайтами, владелец которых дал на это разрешение, и не проводим проверок, которые могут нарушить работу сайта, без согласования.

Что вы получите

Отчёт со списком найденных проблем, разделённых по степени опасности: что исправить немедленно, что в ближайшее время, что можно запланировать. Для каждой проблемы — объяснение простыми словами и способ исправления. Исправления можем выполнить сами, а дальше взять сайт на администрирование, чтобы обновления и копии делались регулярно. Если сайт уже взломан, начинаем с очистки и восстановления, а затем закрываем путь, которым воспользовался злоумышленник.