Как защитить сайт от DDoS-атак, настроить HTTPS, HSTS и Content-Security-Policy. Полное руководство по базовой веб-безопасности: SSL-сертификаты, заголовки безопасности, защита от перехвата данных, мониторинг угроз и действия при взломе.
Введение: интернет — опасное место, но защищаться можно
Каждую минуту в мире происходит более 50 DDoS-атак. Сайты взламывают, данные пользователей перехватывают, серверы кладут. Крупные компании держат штат специалистов по безопасности. Малый бизнес думает: «Да кому я нужен?» И зря. Именно малый бизнес — самая лёгкая цель. Нет защиты — взломали за час. Нет HTTPS — данные клиентов утекли через публичный Wi-Fi. Нет резервной копии — сайт лежит, восстановить не из чего.
Хорошая новость: базовую защиту можно настроить за 1-2 часа. И большинство мер — бесплатны. В этом руководстве — минимальный набор мер безопасности для сайта в 2026 году. Внедрите всё — и спите спокойно. Проигнорируете — однажды утром обнаружите сайт взломанным или недоступным. Выбор за вами.
HTTPS и SSL-сертификаты: шифрование данных — база, без которой нельзя
HTTPS (HTTP Secure) — это протокол, который шифрует данные между браузером пользователя и сервером. Без HTTPS любой участник той же Wi-Fi-сети (в кафе, аэропорту, офисе) может перехватить логины, пароли, номера карт и другие данные, которые пользователь вводит на вашем сайте. Браузеры с 2024 года помечают HTTP-сайты как «Небезопасно» — красным предупреждением в адресной строке. Поисковики понижают HTTP-сайты в выдаче. А некоторые рекламные сети и сервисы просто отказываются работать с HTTP.
SSL-сертификат — это цифровой документ, который подтверждает подлинность сайта и включает шифрование. В 2026 году есть два основных варианта. Бесплатные сертификаты Lets Encrypt: выпускаются на 90 дней, автоматически продлеваются, поддерживаются всеми браузерами и поисковиками, подходят для 99% сайтов. Платные сертификаты (GeoTrust, Sectigo, GlobalSign): дают дополнительную гарантию в виде страховки, визуально в браузере не отличаются от бесплатных, нужны только для специфических требований — например, EV-сертификаты для крупного бизнеса.
Как проверить SSL: онлайн-инструменты SEO-аудита вроде SerpMax проверяют SSL в рамках общего аудита сайта. Специализированные сервисы (SSL Labs) дают детальный отчёт по конфигурации. Браузер — просто откройте сайт и посмотрите на замок в адресной строке. Если замок открыт или перечёркнут — проблема.
Mixed Content: скрытая угроза на HTTPS-сайте
Частая ситуация: SSL-сертификат установлен, сайт открывается по HTTPS, замок зелёный. Но часть ресурсов (изображения, скрипты, стили) загружается по HTTP. Это называется Mixed Content — смешанный контент. Браузеры блокируют такие ресурсы или показывают предупреждение. Страница может отображаться неправильно: без стилей, без картинок, со сломанной вёрсткой.
Как найти Mixed Content: откройте Chrome DevTools (F12) → вкладка Console → в фильтре выберите «Mixed Content» или найдите ошибки с текстом «Mixed Content». Онлайн-инструменты (SerpMax, Why No Padlock) автоматически находят смешанный контент при аудите. Ручная проверка: откройте исходный код страницы (Ctrl+U) и поищите http:// — все ссылки на ресурсы должны быть https://.
Как исправить: замените все http:// на https:// в коде сайта. Для внешних ресурсов убедитесь, что они доступны по HTTPS. Если нет — перенесите ресурс на свой сервер или найдите HTTPS-альтернативу. Используйте относительные протоколы (// вместо http://) — браузер сам выберет HTTP или HTTPS в зависимости от страницы.
HSTS: принудительный HTTPS без права на отказ
HSTS (HTTP Strict Transport Security) — это заголовок, который приказывает браузеру: «Всегда использовать HTTPS для этого сайта, даже если пользователь ввёл HTTP». Без HSTS возможна атака SSL Stripping: злоумышленник перехватывает запрос пользователя к HTTP-версии сайта и не даёт ему перейти на HTTPS, читая весь трафик.
Заголовок HSTS выглядит так: Strict-Transport-Security: max-age=31536000; includeSubDomains; preload. Здесь max-age — время действия в секундах (год), includeSubDomains — применять ко всем поддоменам, preload — запросить включение в preload-список браузеров. Настройка в Apache (.htaccess): Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains". В Nginx: add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always.
HSTS Preload — это список доменов, встроенный в браузеры (Chrome, Firefox, Safari, Edge), для которых HTTPS принудителен с самого первого запроса. Даже если пользователь впервые заходит на сайт и вводит HTTP — браузер автоматически пойдёт по HTTPS. Добавить сайт можно через hstspreload.org (требуется соответствие строгим критериям: валидный сертификат, редирект HTTP→HTTPS, HSTS с max-age не менее года и includeSubDomains).
Content-Security-Policy (CSP): защита от XSS-атак
XSS (Cross-Site Scripting) — это атака, при которой злоумышленник внедряет вредоносный JavaScript-код на ваш сайт. Например, через форму комментария без фильтрации. Когда другие пользователи заходят на страницу с этим комментарием, скрипт выполняется в их браузерах и может украсть куки, пароли, перенаправить на фишинговый сайт.
CSP — это HTTP-заголовок, который говорит браузеру: «Загружай скрипты только с этих источников, все остальные — блокируй». Даже если злоумышленник внедрит код, браузер не выполнит его, потому что источник не в белом списке. Пример базового CSP: Content-Security-Policy: default-src 'self'; script-src 'self' https://mc.yandex.ru; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:.
Здесь default-src 'self' — по умолчанию всё загружаем только со своего домена. script-src 'self' https://mc.yandex.ru — скрипты со своего домена и Яндекс.Метрики (пример). style-src 'self' 'unsafe-inline' — стили со своего домена и встроенные (нужно для многих CMS). img-src 'self' data: https: — изображения со своего домена, data:URI и любых HTTPS-источников. Настройка CSP требует тестирования — слишком строгая политика может сломать сайт. Начинайте с Content-Security-Policy-Report-Only (только отчёты, без блокировки) и анализируйте нарушения.
Другие важные заголовки безопасности
X-Frame-Options. Защищает от атак Clickjacking — когда ваш сайт встраивается в невидимый iframe на другом сайте, и пользователь, думая что кликает по безобидной кнопке, на самом деле совершает действие на вашем сайте (например, подтверждает перевод денег). Значения: DENY (полностью запретить встраивание) или SAMEORIGIN (разрешить встраивание только со своего домена). Заголовок: X-Frame-Options: DENY.
X-Content-Type-Options. Защищает от MIME-sniffing атак — когда браузер пытается угадать тип контента и может выполнить безобидный файл как скрипт. Единственное правильное значение: X-Content-Type-Options: nosniff.
Referrer-Policy. Управляет тем, сколько информации о вашем сайте передаётся при переходе по ссылкам. Рекомендуемое значение: Referrer-Policy: strict-origin-when-cross-origin (передавать полный URL при переходах внутри сайта, только домен — при переходах на другие сайты, ничего — при переходе с HTTPS на HTTP).
Permissions-Policy. Ограничивает доступ к функциям браузера (камера, микрофон, геолокация) для вашего сайта и встроенных iframe. Пример: Permissions-Policy: camera=(), microphone=(), geolocation=self.
DDoS-защита: как не упасть под нагрузкой
DDoS (Distributed Denial of Service) — это атака, при которой тысячи или миллионы заражённых устройств одновременно отправляют запросы к вашему серверу. Сервер не справляется с нагрузкой и перестаёт отвечать. Сайт лежит. Бизнес теряет деньги.
Уровни защиты от DDoS: самый простой — использование CDN с защитой от DDoS (Cloudflare, Qrator, DDoS-Guard). Они фильтруют трафик на своих серверах, пропуская к вам только легитимных пользователей. Cloudflare бесплатный тариф включает базовую DDoS-защиту 3-4 уровня (сетевого) без ограничений по объёму атаки. Платные тарифы добавляют защиту 7 уровня (прикладного) и продвинутые правила.
Дополнительные меры: настройте rate limiting на сервере (ограничение количества запросов с одного IP в минуту), используйте fail2ban для блокировки подозрительной активности, настройте мониторинг доступности сайта с алертами в Telegram или на почту, всегда держите резервную копию сайта на случай, если сервер всё же упадёт.
Резервное копирование: что делать, если всё пропало
Резервная копия (бэкап) — это ваша страховка. Взлом, сбой сервера, случайное удаление, ошибка при обновлении — всё это может уничтожить сайт. Без бэкапа восстановление может занять недели или быть невозможным. С бэкапом — 15 минут и сайт снова в строю.
Правило 3-2-1: храните 3 копии данных (основная + 2 резервные), на 2 разных типах носителей (сервер + облако), 1 копия — вне основной инфраструктуры (другой дата-центр, облачное хранилище). Для WordPress: плагины UpdraftPlus, BackupBuddy, All-in-One WP Migration делают автоматические бэкапы в облако (Google Drive, Dropbox, Yandex Disk) по расписанию. Для других CMS: настройте бэкап на уровне хостинга (многие хостеры предоставляют автоматические бэкапы). Для самописных сайтов: скрипт дампа базы данных + копирование файлов через cron.
Частота бэкапов: для активно обновляемого сайта (блог, магазин) — ежедневно. Для статичного сайта — еженедельно. Всегда делайте бэкап перед обновлением CMS, плагинов, PHP. Проверяйте бэкапы раз в месяц — пробуйте восстановить сайт из копии в тестовую среду. Мёртвый бэкап = отсутствие бэкапа.
Что делать, если сайт взломали: пошаговый план
1. Не паникуйте. Отключите сайт (включите заглушку), чтобы посетители не заразились и не увидели взломанную версию. 2. Определите масштаб: проверьте файлы на изменения (сравните с бэкапом), проверьте базу данных на подозрительные записи, проверьте логи сервера на подозрительную активность. 3. Найдите уязвимость: устаревшая CMS или плагины, слабый пароль администратора, вредоносный код в загруженных файлах, уязвимость в самописном коде. 4. Удалите вредоносный код и закройте уязвимость: обновите CMS и плагины до последних версий, смените ВСЕ пароли (админка, FTP, база данных, хостинг), удалите неиспользуемые плагины и темы, проверьте права доступа к файлам. 5. Восстановите сайт из чистого бэкапа, если удаление вредоносного кода невозможно. 6. Сообщите в Google Search Console и Яндекс.Вебмастер о проблеме безопасности (после исправления они снимут пометку «сайт может быть взломан»).
Мониторинг безопасности: prevention is better than cure
Регулярная проверка безопасности сайта предотвращает 90% проблем. Что мониторить ежемесячно: срок действия SSL-сертификата (не истекает ли в ближайшие 30 дней), HTTP-заголовки безопасности (HSTS, CSP, X-Frame-Options на месте), обновления CMS и плагинов (нет ли доступных, но не установленных обновлений), подозрительная активность в логах (множественные попытки входа, странные запросы), доступность сайта (не падает ли, нет ли замедления).
Инструменты для мониторинга: SerpMax (проверка SSL, HTTP-заголовков, доступности в рамках SEO-аудита), UptimeRobot или Ping-Admin (мониторинг доступности 24/7 с алертами в Telegram), VirusTotal (проверка URL на вирусы и вредоносное ПО).
Часто задаваемые вопросы
Обязательно ли покупать SSL-сертификат или хватит бесплатного? Бесплатного Lets Encrypt достаточно для 99% сайтов: блогов, интернет-магазинов, корпоративных сайтов, SaaS. Платные сертификаты нужны только для специфических требований (страховка, EV-сертификат) или если хостинг не поддерживает автообновление бесплатных.
Как часто нужно обновлять SSL-сертификат? Lets Encrypt обновляется автоматически каждые 90 дней. Платные — раз в год. Главное — следить, чтобы автообновление работало. Раз в месяц проверяйте срок действия.
Замедляет ли HTTPS скорость загрузки сайта? Раньше — да, незначительно. С HTTP/2 и HTTP/3 (которые работают только поверх HTTPS) — HTTPS стал быстрее HTTP за счёт мультиплексирования. Современный HTTPS не замедляет, а ускоряет сайт.
Что делать, если после установки CSP сайт сломался? Используйте Content-Security-Policy-Report-Only вместо Content-Security-Policy. Браузер будет сообщать о нарушениях в консоль, но не блокировать их. Настройте отчётность (report-uri или report-to), соберите данные о нарушениях за неделю, исправьте легитимные источники и только потом включайте блокировку.
Может ли Cloudflare полностью защитить от DDoS? От большинства атак — да. Cloudflare фильтрует трафик на уровне сети, отсекая паразитный трафик до того, как он достигнет вашего сервера. От сложных атак на уровне приложения (7 уровень) лучше защищает платный тариф (Pro или Business) с продвинутыми правилами.
Как проверить, не взломан ли сайт? Признаки взлома: редирект на посторонние сайты, всплывающая реклама, новые страницы с сомнительным контентом, предупреждение в Google Search Console о проблемах безопасности, резкое падение трафика, жалобы пользователей, неизвестные файлы на сервере, новые администраторы в CMS.
