---
title: Базовая безопасность сайта
description: "Минимальный security baseline для любого сайта: обновления, пароли и 2FA, роли и доступы, резервные копии, мониторинг, HTTPS и WAF."
---

## Security baseline

1. Включить регулярные обновления платформы и расширений.
2. Настроить сильные пароли + 2FA для администраторов.
3. Ограничить число администраторов и пересмотреть роли.
4. Включить автоматические backup и проверить restore-процедуру.
5. Настроить журналирование и мониторинг аномальных входов.

## Baseline безопасности перед go-live

Перед запуском сайта проверьте четыре обязательных блока:

1. Политика обновлений платформы, тем и расширений.
2. Контроль доступов и ролей.
3. Бэкапы и план восстановления.
4. Защита от массовых атак и бот-трафика.

### Чек-лист безопасности перед запуском

- Прогнаны smoke-тесты и базовые сценарии входа/восстановления доступа.
- Настроены бэкапы и проверено тестовое восстановление.
- Подготовлен регламент реагирования на инциденты.
- Включено журналирование входов и административных действий.

## Частые ошибки

- Использование предсказуемых имён учётных записей (admin, administrator).
- Устаревшие расширения без поддержки.
- Отсутствие тестового восстановления из backup.

## Пароли и двухфакторная аутентификация

- Пароли администраторов — длинные (12+ символов), уникальные, из менеджера паролей.
- 2FA обязательна для всех учётных записей с правами управления.
- Проверка утечек: пароли, фигурирующие в публичных базах компрометаций, запрещены.

## Роли и доступы

- Принцип минимальных привилегий: каждому пользователю — минимально необходимая роль.
- Разделяйте повседневную работу и административный доступ: под контентом работайте под редактором, не администратором.
- Регулярно пересматривайте список пользователей и отключайте неактивные аккаунты.

## Резервные копии

- Бэкапы автоматические, с периодичностью, соответствующей частоте изменений.
- Копии хранятся отдельно от боевого сервера (другой сервер или облачное хранилище).
- Восстановление проверено на практике — backup без проверенного restore не считается.

## HTTPS и защита от ботов

- HTTPS обязателен для любого сайта — шифрование трафика и доверие посетителей.
- WAF или сервис защиты от DDoS закрывает типовые атаки до того, как они дойдут до сайта.
- Ограничьте попытки перебора паролей (rate limiting, блокировка по IP, капча).

## JS пример: проверка надежности пароля на фронтенде

```js
function isStrongPassword(password) {
  return (
    password.length >= 12 &&
    /[A-Z]/.test(password) &&
    /[a-z]/.test(password) &&
    /\d/.test(password) &&
    /[^A-Za-z0-9]/.test(password)
  );
}

console.log(isStrongPassword("Secure!Pass2026"));
```

Что делает код:

- Дает минимальную проверку сложности до отправки формы.
- Не заменяет серверную валидацию, а дополняет UX.

## Реализация

- [Базовая безопасность WordPress](https://wpcraft.ru/kb/stacks/wordpress/security-basics.md) — обновления ядра и плагинов, отключение редактирования файлов, плагины безопасности
- [WooCommerce: приём платежей](https://wpcraft.ru/kb/stacks/woocommerce/payments.md) — безопасность платёжного контура магазина

## Связанные страницы

- [Защита веб-проектов: сервисы](https://wpcraft.ru/kb/practices/web/security/web-protection-services.md) — выбор защитного сервиса для проекта
- [Оптимизация производительности сайта](https://wpcraft.ru/kb/practices/web/performance/optimization.md) — соседний baseline для go-live

## Материалы и источники

- [WordPress Developer Handbook — Security](https://developer.wordpress.org/advanced-administration/security/) — исходник, на базе которого обобщена эта страница