Базовая безопасность сайта

Security baseline

1. Включить регулярные обновления платформы и расширений.
2. Настроить сильные пароли + 2FA для администраторов.
3. Ограничить число администраторов и пересмотреть роли.
4. Включить автоматические backup и проверить restore-процедуру.
5. Настроить журналирование и мониторинг аномальных входов.

Baseline безопасности перед go-live

Перед запуском сайта проверьте четыре обязательных блока:

1. Политика обновлений платформы, тем и расширений.
2. Контроль доступов и ролей.
3. Бэкапы и план восстановления.
4. Защита от массовых атак и бот-трафика.

Чек-лист безопасности перед запуском

• Прогнаны smoke-тесты и базовые сценарии входа/восстановления доступа.
• Настроены бэкапы и проверено тестовое восстановление.
• Подготовлен регламент реагирования на инциденты.
• Включено журналирование входов и административных действий.

Частые ошибки

• Использование предсказуемых имён учётных записей (admin, administrator).
• Устаревшие расширения без поддержки.
• Отсутствие тестового восстановления из backup.

Пароли и двухфакторная аутентификация

• Пароли администраторов — длинные (12+ символов), уникальные, из менеджера паролей.
• 2FA обязательна для всех учётных записей с правами управления.
• Проверка утечек: пароли, фигурирующие в публичных базах компрометаций, запрещены.

Роли и доступы

• Принцип минимальных привилегий: каждому пользователю — минимально необходимая роль.
• Разделяйте повседневную работу и административный доступ: под контентом работайте под редактором, не администратором.
• Регулярно пересматривайте список пользователей и отключайте неактивные аккаунты.

Резервные копии

• Бэкапы автоматические, с периодичностью, соответствующей частоте изменений.
• Копии хранятся отдельно от боевого сервера (другой сервер или облачное хранилище).
• Восстановление проверено на практике — backup без проверенного restore не считается.

HTTPS и защита от ботов

• HTTPS обязателен для любого сайта — шифрование трафика и доверие посетителей.
• WAF или сервис защиты от DDoS закрывает типовые атаки до того, как они дойдут до сайта.
• Ограничьте попытки перебора паролей (rate limiting, блокировка по IP, капча).

JS пример: проверка надежности пароля на фронтенде

function isStrongPassword(password) {
  return (
    password.length >= 12 &&
    /[A-Z]/.test(password) &&
    /[a-z]/.test(password) &&
    /\d/.test(password) &&
    /[^A-Za-z0-9]/.test(password)
  );
}

console.log(isStrongPassword("Secure!Pass2026"));

Что делает код:

• Дает минимальную проверку сложности до отправки формы.
• Не заменяет серверную валидацию, а дополняет UX.

Реализация

• Базовая безопасность WordPress — обновления ядра и плагинов, отключение редактирования файлов, плагины безопасности
• WooCommerce: приём платежей — безопасность платёжного контура магазина

Связанные страницы

• Защита веб-проектов: сервисы — выбор защитного сервиса для проекта
• Оптимизация производительности сайта — соседний baseline для go-live

Материалы и источники

• WordPress Developer Handbook — Security — исходник, на базе которого обобщена эта страница