Безпека сайту за вечір: 10 кроків, які можна перевірити самому

Малі сайти зламують найчастіше не тому, що хтось полює саме на вас. Це боти, які днями перебирають одні й ті самі слабкі місця: короткі паролі, старі версії, панель за стандартною адресою, відкриту реєстрацію. Закрийте ці місця, і ваш сайт перестане бути легкою ціллю. Нижче десять кроків на один вечір. У кожного три рядки: що зробити, як перевірити самому (екран або команда) і що буде, якщо не робити.

Це не список «натискайте все підряд»: кроки незалежні, брати їх можна по одному. Частину роботи рушій робить сам: наприклад, надсилає браузеру заголовки безпеки (крок 5), вам лишається переконатися, що вони доходять.

Ваш пульт: «Захист сайту» #

Відкрийте «Система → Безпека → Захист сайту». Це один екран, на якому видно, що гаразд, що варто підтягнути і що погано. Кожен рядок пояснює себе й веде туди, де це виправляється. Майже кожен крок нижче перевіряється за рядком на цьому екрані.

Це підказка, а не вирок: цифри рахуються на льоту за даними вашого сайту.

Крок 1. Оновлення #

Що зробити. Відкрийте «Система → Оновлення» (сторінка видима тим, у кого є право на налаштування сайту: власнику й адміністратору) й оновіться, якщо є нова версія. Перед оновленням зробіть копію бази (крок 8): рушій робить її сам, але ручна копія нічого не коштує. Як перевірити. На тій самій сторінці видно, яка версія стоїть і чи є нова. Раз на тиждень дивіться туди, де ви перевіряєте замовлення чи пошту. Якщо не робити. Діри, які вже закрито в новій версії, лишаються у вас, і про них відомо всім: виправлення виходить разом з описом помилки.

Крок 2. Пароль і добір пароля #

Що зробити. У «Налаштування сайту → Вхід і користувачі → Реєстрація та користувачі» поставте «Найменша довжина пароля» від 10 знаків (це значення за замовчуванням). Довжина сама по собі не рятує, але очевидні паролі рушій відхиляє окремо. Потім у «Безпека → Вхід і сеанси» переконайтеся, що «Спроб входу» не більше десяти. За замовчуванням це п’ять невдач, після чого вхід у цей обліковий запис закрито на 15 хвилин (термін змінюється в полі «Замикати на, хвилин»), і бот упирається в ліміт. Як перевірити. На екрані «Захист сайту» рядки «Довжина пароля» та «Блокування після невдалих входів» мають бути «Добре». Якщо не робити. Короткі паролі й необмежені спроби роблять перебір питанням часу. Це найпростіший спосіб злому, і він закривається двома числами.

Крок 3. Вхід у два кроки #

Що зробити. У своєму профілі увімкніть другий крок («Увімкнути другий крок»): код із застосунку на телефоні підтверджує вхід. Збережіть «Резервні коди»: кожен працює один раз і потрібен, якщо телефон загублено. Потім попросіть те саме в кожного адміністратора. Коли всі звикнуть, у «Налаштування сайту → Вхід і користувачі → Безпека → Вхід до панелі» перемкніть «Двофакторний захист» з «Рекомендувати» на «Вимагати від адміністраторів». Це вас не замкне: рушій відправить кожного, у кого другого кроку ще немає, у профіль, щоб увімкнути його, а профіль доступний завжди. Тож вмикати не страшно. Як перевірити. Рядок «Два кроки при вході в адміністраторів» на екрані «Захист сайту»; у списку «Користувачі» є фільтр «Вхід у два кроки», він показує, в кого ще вимкнено. Якщо не робити. Пароль можуть украсти не у вас, а в чужому сервісі, де ви користувалися тим самим. Тоді без другого кроку вхід до панелі відкритий.

Крок 4. Шифроване з’єднання (HTTPS) #

Що зробити. Переконайтеся, що в сайту є сертифікат і він відкривається за https://. Лише після цього в «Налаштування сайту → Вхід і користувачі → Безпека → З’єднання» увімкніть «Лише захищене з’єднання (https)». Без сертифіката вмикати це не можна: перенаправлення відведе відвідувачів у нікуди. Як перевірити. Відкрийте сайт за адресою з http://: браузер має перейти на https://. Те саме в командному рядку:

curl -I http://example.com

У відповіді чекайте код 301 або 302 і рядок Location: https://example.com/. Рядок «Шифроване з’єднання (HTTPS)» на екрані «Захист сайту» має бути «Добре». Якщо не робити. Паролі й сеанси ходять відкритим текстом: у чужій публічній мережі їх може прочитати стороння людина.

Крок 5. Заголовки безпеки #

Що зробити. Майже нічого: рушій надсилає їх сам. Ваше завдання переконатися, що їх не зрізає проксі чи хостинг перед сайтом. Як перевірити.

curl -I https://example.com

У відповіді мають бути рядки:

• X-Content-Type-Options: nosniff: браузер не вгадує тип файлу;
• X-Frame-Options: SAMEORIGIN (на окремих сторінках DENY) і в Content-Security-Policy частина frame-ancestors 'self': чужий сайт не вставить вашу сторінку в рамку;
• Referrer-Policy: strict-origin-when-cross-origin: назовні не йдуть зайві частини адреси;
• Permissions-Policy: камера, мікрофон і геолокація вимкнені, поки вони не потрібні;
• Strict-Transport-Security: max-age=31536000 за https: браузер сам запам’ятає ходити лише захищеним з’єднанням.

Оцінку зручно подивитися й на публічній перевірці Mozilla Observatory (developer.mozilla.org/en-US/observatory). Не женіться за найвищою оцінкою: вона не бачить ні застарілого ПЗ, ні слабких паролів, і не замінює перевірку. Якщо не робити. Нічого не зламається одразу: ці заголовки лише підказують браузеру, що заборонити. Але чим їх більше, тим менше помилок в інших місцях обертаються проблемою.

Крок 6. Адреса панелі й доступ за адресами #

Що зробити. У «Налаштування сайту → Вхід і користувачі → Безпека → Вхід до панелі» впишіть «Своя адреса панелі» (латиниця, цифри, дефіс), придумайте свою, не копіюйте приклад із картинки нижче. Запишіть її десь поруч із паролем. Поле «Пускати до панелі лише з цих адрес» потрібне лише тим, у кого є постійна адреса (наприклад, офіс зі своєю адресою): із чужих адрес панель відповість «сторінки немає». Домашня й мобільна адреса зазвичай змінюється, і тоді ви самі опинитеся за дверима: список без вашої поточної адреси зберегти не можна, але завтра адреса може стати іншою. Зняти обмеження без панелі можна лише командою php nex1on admin:access на сервері. Без доступу до консолі сервера й без постійної адреси це поле краще не вмикати.

Як перевірити. Відкрийте нову адресу: має відкритися вхід. Старий /admin має відповідати «сторінки немає» (404). Рядки «Адреса панелі керування» та «Доступ до панелі за адресами» на екрані «Захист сайту» це відобразять.
Якщо не робити. Нічого страшного не станеться, але боти знаходять панель за стандартною адресою першою, і шум у журналі росте. Своя адреса не замінює пароль і вхід у два кроки, вона лише прибирає вас зі списку легких цілей.

Крок 7. Хто що може і хто реєструється #

Що зробити. Відкрийте «Користувачі та доступ → Користувачі» і подивіться, кому яку роль видано. Адміністратором має бути той, кому це потрібно щодня; редакторові досить ролі редактора. Якщо реєстрація відвідувачів вам не потрібна, вимкніть «Дозволити реєстрацію» в «Налаштування сайту → Вхід і користувачі → Реєстрація та користувачі»; якщо потрібна, лишіть увімкненим «Вимагати підтвердження пошти». Як перевірити. Список «Користувачі» і роль кожного; рядок «Реєстрація відвідувачів» на екрані «Захист сайту». Якщо не робити. Зайві права перетворюють чужу помилку або вкрадений пароль на велику проблему. Відкрита реєстрація без перевірки пошти дозволяє створювати облікові записи з чужими адресами.

Крок 8. Копії: база і поза сайтом #

Що зробити. Зробіть копію бази в «Система → Копії та перенесення → Копії бази» і поставте автоматичну. Налаштуйте «Копії в іншому місці» (шифрована копія за межами сервера): якщо зникне хостинг, зникне й копія поруч із сайтом. Докладно про копії та переїзд: «Копії та перенесення сайту на Nex1on». Теку завантажених файлів копіюють окремо (по FTP): до копії бази вона не входить. Як перевірити. У списку «Готові копії» має бути свіжа. Для копії на сторону натисніть «Перевірити зв’язок», а коли надійде перша копія, відкрийте її в себе й поставте позначку «Я відкрив копію в себе, ключ робочий». Якщо не робити. Це єдиний крок, помилку в якому не можна виправити потім: втрачені записи й замовлення не повернути нічим.

Крок 9. Спам і ключі API #

Що зробити. У «Безпека → Сторож від спаму» лишіть суворий режим (за замовчуванням). В «Інтеграції → Ключі доступу (API)» відкличте ключі, якими не користуються: потрібний ключ можна випустити знову, а забутий лишається дверима. Як перевірити. Рядки «Сторож від спаму» та «Ключі API» на екрані «Захист сайту»: другий нагадає про ключі, якими не користувалися понад 90 днів. Якщо не робити. Форми заповнить спам, а забутий ключ може роками лишатися доступом, про який усі забули.

Крок 10. Дві хвилини раз на тиждень #

Що зробити. Раз на тиждень відкрийте «Захист сайту» й «Безпека → Події безпеки». Це дві хвилини: журнал читати не треба, досить побачити, що рядки зелені й невдалих входів не побільшало помітно. Як перевірити. Рядок «Невдалі входи за добу»: «Добре», доки їх менше тридцяти. Багато входів з однієї адреси можна заблокувати в «Безпека → Блокування адрес». Якщо не робити. Ви дізнаєтеся про проблему від відвідувачів, а не від сайту.

Чого цей список не робить #

Він знижує ризик, а не прибирає його зовсім. Він не захистить від помилки в стороннього модуля чи в програмах хостингу й не замінить копію. Якщо сумніваєтеся, порадьтеся зі спеціалістом, особливо коли на сайті зберігаються платежі чи чужі персональні дані.