Полноценный аудит безопасности — задача для специалистов, но есть базовые вещи, которые владелец бизнеса может проконтролировать сам, даже не разбираясь в коде. Этот список не заменяет аудит, но помогает закрыть самые частые и самые дорогие по последствиям пробелы.
Обновления и зависимости
Большинство взломов сайтов происходит не через изощрённые атаки, а через известные уязвимости в устаревших версиях платформы или плагинов. Спросите у подрядчика, как часто обновляется CMS и её компоненты — если ответ «когда что-то ломается», это повод насторожиться.
Пароли и доступы
Проверьте, у скольких людей есть доступ к административной панели сайта и хостингу, и актуален ли этот список — бывшие сотрудники и подрядчики нередко сохраняют доступ месяцами после окончания работы. Двухфакторная аутентификация для административных учётных записей — простая мера, которая закрывает значительную часть рисков.
Резервное копирование
Бэкап — это не только защита от взлома, но и страховка от человеческой ошибки или сбоя сервера. Уточните, как часто снимаются резервные копии и где они хранятся — если бэкапы лежат на том же сервере, что и сайт, при серьёзной проблеме они могут пострадать вместе с основными данными.
HTTPS и шифрование данных
Сайт без действующего сертификата HTTPS браузеры сегодня помечают как небезопасный, а формы на таком сайте — это прямой риск для данных клиентов. Убедитесь, что сертификат установлен и продлевается автоматически, а не вручную кем-то, кто может забыть об этом.
Обработка персональных данных
Если сайт собирает персональные данные — имя, телефон, почту — важно понимать, где и как долго они хранятся и кто имеет к ним доступ. Это не только вопрос технической безопасности, но и юридических рисков для бизнеса.
Что спросить у подрядчика
- Когда в последний раз обновлялись платформа и её компоненты.
- Кто имеет доступ к серверу и административной панели сайта.
- Как часто снимаются резервные копии и проверялось ли восстановление из них.
- Есть ли план действий на случай инцидента.
Эти вопросы не требуют технической подготовки, но их регулярное обсуждение с подрядчиком заметно снижает вероятность серьёзных проблем в будущем.