BITSPARK / Статьи / Дизайн и элементы сайта

Защита сайта от взлома: признаки взлома и что спросить подрядчика

Коротко: справка Search Console определяет взломанный контент как материалы, размещённые на сайте без согласия владельца через уязвимости. Сигнал о проблеме владелец видит в отчёте «Проблемы безопасности» в Search Console и на странице «Оптимизация сайта → Безопасность и нарушения» в Яндекс Вебмастере. Документация WordPress называет безопасность снижением риска и оговаривает, что полностью защищённая система может оказаться недостижимой. Остальное решается договорённостями с подрядчиком: кто обновляет систему, кто получает уведомления, где лежат копии и кто восстанавливает сайт после взлома.

Защита сайта от взлома - тема, в которой владельцу полезно знать, где появляется сигнал о проблеме и кто отвечает за каждую меру. Статья рассчитана на владельца бизнеса или маркетолога, который заказывает сайт или переделывает существующий. Она описывает, где владелец видит сигнал о взломе и что спросить подрядчика; лечение заражённого сайта, продукты защиты и цены в неё не входят. О капче на форме есть отдельная статья «Капча на сайте: что это, какой бывает и нужна ли она форме».

Опора - справка Search Console «Отчет о проблемах безопасности», две страницы справки Яндекс Вебмастера, запись блога Google Search Central от 8 декабря 2017 года, руководство Hardening WordPress и статьи 3 и 19 закона 152-ФЗ. Данные на 21.10.2026. Даты у них разные: на странице справки Search Console и на страницах справки Яндекса даты нет, руководство WordPress обновлено 14 октября 2026 года, закон взят в редакции от 26.07.2026. Запись Google вышла в 2017 году: тексты предупреждений даны в ней на эту дату, а актуальную картину показывает отчёт в кабинете.

Руководство WordPress взято как пример одной системы; вопросы подрядчику о других системах те же, ответы дают их документация и условия. Английские цитаты даны с переводом, перевод наш. Пример вымышленный: велосервис с сайтом example.ru и формой записи на ремонт, в которой посетитель оставляет имя и телефон.

Что считается взломом сайта?

Коротко: справка Search Console называет три категории проблем безопасности: взломанный контент, вредоносное и нежелательное ПО, социальная инженерия. Взломанный контент появляется через уязвимости в системе безопасности. Вредоносное ПО, по той же справке, может разместить как хакер, так и владелец сайта.

Уязвимость - слабое место в программе или её настройках, через которое можно получить доступ к сайту. Первая категория справки Search Console описывает именно такой случай:

«Взломанный контент - любые материалы, которые без вашего согласия размещены на вашем сайте кем-то, кто использовал уязвимости в системе безопасности.»

Две другие категории описаны иначе. Вредоносное ПО может разместить и владелец сайта, а социальная инженерия описана через контент, который обманным путем убеждает посетителя выполнять опасные действия:

«Вредоносное и нежелательное ПО - программное обеспечение, которое наносит ущерб пользователям или их устройствам, а также вводит их в заблуждение или выполняет недопустимые действия. Разместить такое ПО на сайте может как хакер, так и владелец сайта.»

«Социальная инженерия - стратегия, основанная на использовании контента, который обманным путем убеждает пользователей выполнять опасные действия, например скачивать программы или передавать злоумышленникам конфиденциальную информацию.»

Допустим, на example.ru появились новые страницы, которые владелец велосервиса не создавал. Это подходит под тип взлома, который справка называет внедрением URL: злоумышленник создаёт на сайте новые страницы (описание справки дословно приведено в таблице ниже). Подтвердить или опровергнуть взлом может отчёт в кабинете. Справка называет его источником достоверных сведений о том, остались ли проблемы безопасности на сайте.

Где владелец видит сигнал о взломе?

Коротко: у Google сигнал приходит в отчёт «Проблемы безопасности» в Search Console и значком предупреждения в результатах поиска. У Яндекса нарушения собраны на странице «Оптимизация сайта → Безопасность и нарушения» в Вебмастере. Чтобы быстрее узнавать о них, справка Яндекса советует подписаться на уведомления.

Search Console и Яндекс Вебмастер - кабинеты владельца сайта в Google и Яндексе. Таблица собирает места, где источники называют сигнал.

Где смотретьЧто показывает по словам источникаИсточник
Search Console, отчёт «Проблемы безопасности»информацию о том, что Google обнаружил взлом сайта или опасность для посетителей; количество проблем вверху отчёта, а при их отсутствии сообщение с зелёной галочкойсправка Search Console
Результаты поиска Googleзначок предупреждения у страниц и сайтов с проблемами безопасности; при переходе на них - информацию о том, почему не следует этого делатьсправка Search Console
Яндекс Вебмастер, страница «Оптимизация сайта → Безопасность и нарушения»список нарушений, их описание и рекомендации, как снять ограничения; если списка нет, ограничения на сайт или его разделы не действуютсправка Яндекса «Безопасность сайта и нарушения»
Яндекс Вебмастер, страница «Оптимизация сайта → Диагностика сайта», раздел с ошибкамиинформацию о нарушении, если алгоритмы его найдутсправка Яндекса «Безопасность сайта и нарушения»
Яндекс Вебмастер, уведомлениябыстрее узнать об обнаруженных нарушениях, если подписатьсясправка Яндекса «Безопасность сайта и нарушения»
Search Console, уведомленияуведомление о критических ошибках, если Google их обнаружитблог Google от 8 декабря 2017 года

Отчёт Google описывает проблему подробно. Справка пишет, что в сведениях о проблеме указано, когда она была впервые обнаружена, дано краткое описание и ссылка на дополнительную информацию. Раскрыв описание, можно увидеть список адресов страниц с проблемой, но список может быть неполным:

«Разверните описание проблемы, чтобы увидеть список URL, на которых она встречается. Учтите, что в списке могут быть не все страницы с проблемой.»

Путь в интерфейсе Яндекса справка даёт так:

«Список нарушений, их описание и рекомендации, как снять ограничения, отображаются в Яндекс Вебмастере на странице Оптимизация сайта → Безопасность и нарушения.»

Нарушения в списке Яндекса не обязательно связаны со взломом: справка называет другие поводы для ограничений.

«Если ваш сайт нарушает правила Поиска Яндекса или использует недобросовестные методы продвижения, алгоритмы могут применить ограничения.»

Слово взлом на этой странице не встречается. Причину нарушения подрядчик и владелец выясняют по описанию в самом кабинете.

Для Search Console запись блога Google называет условие:

«Учтите, что права собственности на сайт необходимо подтвердить, даже если вы не являетесь его создателем.»

Справка Search Console добавляет, что о ходе проверки после запроса приходят уведомления по электронной почте. Отсюда первый вопрос заказчика: на чей аккаунт подтверждены права на example.ru и на чью почту придёт письмо.

Как понять, что сайт взломали: какие признаки называют источники?

Коротко: справка Search Console описывает четыре типа взлома: вредоносное ПО, внедрение кода, внедрение контента и внедрение URL. Запись блога Google от 8 декабря 2017 года советует смотреть предупреждения в поиске, заходить на сайт с мобильного устройства и сверять содержимое обычной и мобильной версий. Справка Яндекса отдельно описывает неожиданное перенаправление.

Справка Search Console делит взлом на типы. Таблица приводит их описания слово в слово.

Тип по справкеКак справка его описывает
Вредоносное ПО«Сайт заражен или на нем есть вредоносное ПО - приложения для нанесения ущерба компьютерам, мобильным устройствам или их пользователям.»
Внедрение кода«Хакер взломал ваш сайт и разместил на нем вредоносный код, предназначенный, например, для переадресации на зараженный ресурс или для майнинга криптовалюты в браузере посетителя сайта.»
Внедрение контента«Хакер добавил на сайт спам в виде текста или ссылок.»
Внедрение URL«Злоумышленник создал на вашем сайте новые страницы.»

Источник таблицы: Справка Search Console, Отчет о проблемах безопасности - Справка Search Console, раздел «Список проблем безопасности».

Владелец может не увидеть проблему на собственном сайте. Справка пишет, что хакеры способны вносить изменения, которые выявляются только системами Google:

«Например, злоумышленники могут поместить на вашем сайте ссылку на свой ресурс, которая будет не видна людям, но доступна роботам Google.»

Для таких случаев справка предлагает «Инструмент проверки URL», чтобы увидеть страницу так, как ее видит Google. Она же советует не открывать заражённые страницы в браузере и объясняет это риском для компьютера:

«Не открывайте свои зараженные страницы в браузере.»

Запись блога Google от 8 декабря 2017 года перечисляет предупреждения и проверки. Предупреждение о взломе ради спама описано так:

«Предупреждение Возможно, этот сайт был взломан показывается в случае, если злоумышленники взломали ваш сайт для распространения спама, то есть бесплатного размещения нежелательной рекламы.»

Там же сказано, что отсутствие сигнала в одном инструменте ничего не доказывает:

«Даже если инструмент "Безопасный просмотр" не обнаружил ничего подозрительного, это не означает, что с вашего сайта не распространяется спам.»

Среди проверок запись называет вход на сайт с мобильного устройства в режиме инкогнито и сверку содержимого:

«Обязательно убедитесь в том, что на обычном сайте и на его мобильной версии представлен один и тот же контент.»

Запись отдельно говорит о вредоносной рекламе. Если посетители попадают на сторонние страницы, причиной может быть она:

«Если вдруг посетители вашего сайта начинают попадать на сторонние страницы, вам может показаться, что сайт взломан, (...) причина этого может крыться именно в таких объявлениях.»

Если следов взлома найти не удаётся, запись советует обратиться к специалисту:

«Обратитесь к специалисту по безопасности или задайте вопрос на нашем справочном форуме для веб-мастеров.»

Что такое неожиданное перенаправление по справке Яндекса?

Коротко: по справке Яндекса, неожиданное перенаправление - вид поискового спама, когда пользователь попадает с исходного сайта на сторонний ресурс, а переход для него неочевиден. Открытое перенаправление с понятной причиной, которое не вводит в заблуждение и не может навредить, нарушением не считается.

Перенаправление, или редирект, - автоматический переход посетителя с одной страницы на другую. Справка Яндекса определяет нарушение так:

«Неожиданное перенаправление, или редирект, - вид поискового спама, когда пользователь попадает с исходного сайта на сторонний ресурс. При этом такой переход для него неочевиден.»

Справка называет два момента, когда перенаправление может произойти: пользователь переходит на страницу сайта из поисковой системы или взаимодействует с элементами сайта, например нажимает на кнопку. Как устранить или предотвратить нарушение, справка отвечает так:

«Проверьте корректность ссылок и других элементов сайта (например, плагинов и прочих скриптов), которые могут перенаправлять пользователей.»

Перенаправление нарушением считается не во всех случаях. В разделе «Какие случаи не относятся к неожиданному перенаправлению» справка Яндекса называет три условия: перенаправление выполняется открыто, имеет понятную причину, не вводит пользователя в заблуждение и не может ему навредить. Примеры из справки: перенаправление на версию сайта с новым дизайном при тестировании и интерфейсные элементы (кнопки, баннеры, ссылки), которые с очевидной целью побуждают перейти на другой ресурс.

Справка Search Console называет переадресацию на зараженный ресурс примером того, для чего предназначен внедрённый вредоносный код, а справка Яндекса относит неожиданное перенаправление на сторонний ресурс к нарушениям. Перенаправления, которые владелец настраивает сам, например при переделке сайта, разобраны в статье «Редирект 301: что это и когда он нужен при переделке сайта».

Какие меры защиты сайта от взлома называет документация WordPress?

Коротко: руководство Hardening WordPress (обновлено 14 октября 2026 года) называет безопасность снижением риска и предупреждает, что полностью защищённая система может оказаться недостижимой. Меры в нём охватывают обновления, пароли, доступ к файлам, права на файлы, защиту админки, плагины, копии, журналы и мониторинг. Это пример одной системы.

WordPress - система управления сайтом, одна из CMS. Что такое CMS и нужна ли она сайту, объясняет статья «CMS: что это и нужна ли она сайту - вопросы подрядчику». Руководство начинается с определения безопасности:

"What security is though is risk reduction, not risk elimination."

Перевод наш: безопасность - это снижение риска, не устранение риска. Страница сама оговаривает свои границы:

"This article is not the ultimate quick fix to your security concerns."

Перевод наш: эта статья не даёт окончательного быстрого решения ваших проблем с безопасностью. Следующая фраза страницы адресована тем, у кого есть конкретные опасения:

"If you have specific security concerns or doubts, you should discuss them with people whom you trust to have sufficient knowledge of computer security and WordPress."

Перевод наш: если у вас есть конкретные опасения или сомнения по безопасности, обсудите их с людьми, которым вы доверяете и которые, по-вашему, достаточно разбираются в компьютерной безопасности и WordPress.

Руководство делит ответственность между хостингом и владельцем сайта:

"it's important to understand where their responsibility ends and yours begins."

Перевод наш: важно понимать, где заканчивается ответственность хостинга и начинается ваша. Про сервер страница советует спросить хостинг напрямую:

"Be sure to ask your web host what security precautions they take."

Перевод наш: обязательно спросите хостинг, какие меры безопасности он принимает.

Таблица ниже сводит меры из руководства и вопросы, которые из них следуют. Вторая колонка пересказывает разделы страницы, вопросы подрядчику сформулированы нами.

Раздел руководстваЧто сказаноВопрос подрядчику
Vulnerabilities in WordPress, Updating WordPressс версии 3.7 в WordPress есть автоматические обновления; старые версии не поддерживаются обновлениями безопасностиКто и как обновляет систему?
Pluginsплагины нужно обновлять; плагин, который не используется, советуют удалить из системыКакие плагины стоят на сайте и все ли они нужны?
Passwordsнужен сильный пароль; злоумышленник с доступом к учётной записи администратора может установить вредоносные скрипты; включить двухэтапную проверку названо хорошей идеейКто имеет административный доступ и включена ли двухэтапная проверка?
FTPпри подключении к серверу следует использовать SFTP, если хостинг его предоставляет; SFTP шифрует пароль и другие данные при передачеКаким способом подрядчик подключается к серверу?
File Permissionsлучше ограничивать права на файлы как можно сильнее и ослаблять ограничения, когда нужен доступ на записьКто настраивал права на файлы?
Securing wp-adminсерверная защита паролем (пример - BasicAuth) добавляет второй уровень защиты вокруг административной частиЕсть ли второй уровень защиты входа в админку?
Data Backupsданные, включая базы данных, советуют копировать регулярно; снимки всей установки (файлы WordPress и база данных) можно хранить в надёжном местеГде лежат копии и как часто они создаются?
Logging и Monitoringжурналы помогают понять, что происходило на сайте; мониторинг помогает быстрее реагировать и восстановить сайтКто смотрит журналы и следит за изменениями файлов?

Источник таблицы: Developer.WordPress.org, Hardening WordPress - Advanced Administration Handbook | Developer.WordPress.org, страница обновлена October 14, 2026.

Про источник программы руководство говорит прямо:

"never download or install WordPress from any website other than https://wordpress.org"

Перевод наш: никогда не скачивайте и не устанавливайте WordPress с какого-либо сайта, кроме https://wordpress.org. Для плагинов и тем в подразделе Trusted Sources сказано:

"Restrict yourself to the WordPress.org repository or well known companies."

Перевод наш: ограничьтесь репозиторием WordPress.org или хорошо известными компаниями. О старых версиях сказано коротко:

"Older versions of WordPress are not maintained with security updates."

Перевод наш: старые версии WordPress не поддерживаются обновлениями безопасности. Про мониторинг страница признаёт, что профилактики может не хватить:

"Sometimes prevention is not enough and you may still be hacked."

Перевод наш: может оказаться, что профилактики недостаточно, и вас всё равно взломают. Раздел о копиях разбирает пример сайта, который делает снимки каждую неделю:

"if a site is compromised on May 1st but the compromise is not detected until May 12th, the site owner will have pre-compromise backups that can help in rebuilding the site"

Перевод наш: если сайт взломан 1 мая, а взлом обнаружен только 12 мая, у владельца будут копии до взлома, которые помогут восстановить сайт. Что входит в копию и кто её делает, объясняет статья «Бэкап сайта: что это, из чего состоит и что спросить у подрядчика».

Для других систем таблица остаётся списком вопросов; ответы дают их документация и условия.

Что делать, если в отчёте появилась проблема?

Коротко: Google и Яндекс описывают одну схему: прочитать описание проблемы, исправить её на сайте, написать в кабинете, что сделано, и отправить сайт на проверку. Срок проверки Google - от нескольких дней до нескольких недель, Яндекса - в течение 30 дней. Устранение вредоносного ПО требует, по справке Google, умения работать с кодом, поэтому вопрос заказчика - кто это делает.

Справка Search Console говорит, что для устранения вредоносного ПО нужны навыки, и упоминает настройку веб-сервера сайта:

«Для устранения проблемы, связанной с вредоносным ПО, требуется умение работать с кодом (...)»

Таблица сравнивает, что делают в двух кабинетах. Каждая ячейка опирается на справку соответствующего сервиса.

ШагSearch Console (Google)Яндекс Вебмастер
Где начатьотчёт «Проблемы безопасности»: раскрыть описание проблемы и перейти по ссылке «Подробнее»страница «Оптимизация сайта → Безопасность и нарушения»
Что исправитьпроблему на всех страницах сайта, где она встречаетсяуказанные нарушения на сайте или его разделах
Что написатьв запросе пояснить, что именно предпринято: описание проблем, описание мер и доказательство результативностив блоке с описанием нарушения подробно указать, что изменено; при необходимости прикрепить файлы
Что нажать«Запросить проверку»отметка «Нарушение исправлено», затем кнопка «Отправить на проверку» с подтверждением
Срок проверки«от нескольких дней до нескольких недель»«в течение 30 дней»
Повторный запросне посылать новый, пока нет окончательного решения по текущемутолько через 30 дней с момента отправки сайта на проверку

Источники таблицы: Справка Search Console, Отчет о проблемах безопасности - Справка Search Console, разделы «Устранение проблем» и «Сколько будет длиться проверка?»; Вебмастер, Безопасность сайта и нарушения | Вебмастер, раздел «Как снять ограничение».

Справка Search Console требует исправлять проблему на всех страницах:

«Устраните проблему на всех страницах сайта, где она встречается. Если вы сделаете это лишь на некоторых страницах, это не значит, что часть вашего сайта снова будет появляться в результатах поиска.»

Отправка запроса без исправления имеет последствия:

«Если отправить запрос на повторную проверку, не устранив проблему, на рассмотрение следующего запроса может потребоваться больше времени, а вам может быть присвоен статус Неоднократные нарушения.»

У Яндекса рядом с названием нарушения появляется статус. Справка описывает четыре статуса. Для «Ограничение не снято» она называет условие повторной отправки:

«Ограничение не снято - проверка завершилась, но алгоритмы продолжают фиксировать нарушения на сайте или его разделах. Вы можете повторно сообщить об устранении нарушения только через 30 дней с момента отправки сайта на проверку.»

Для очистки справка Google называет замену заражённых файлов резервными копиями. Это сказано в разделе «Тип взлома: внедрение кода», шаг «Очистите сайт»: «Завершив подготовку к очистке сайта, вы можете заменить зараженные файлы их безопасными резервными копиями или удалить посторонний контент самостоятельно». Поэтому вопрос о копиях входит в список вопросов до запуска. Если вместо сайта хостинг показывает сообщение о блокировке, это отдельная ситуация, которую разбирает статья «Сайт заблокирован хостинг-провайдером: что это значит для владельца».

Что говорит закон, если на сайте есть формы с персональными данными?

Коротко: часть 1 статьи 19 закона 152-ФЗ обязывает оператора принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных. Применима ли норма к вашей компании и какие меры достаточны, решает юрист. Уведомления, сроки и штрафы при инциденте разобраны в отдельной статье.

В велосервисе из примера форма записи собирает имя и телефон посетителя. Статья 3 закона от 27.07.2006 N 152-ФЗ «О персональных данных» определяет персональные данные так:

«персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)»

Часть 1 статьи 19 говорит о мерах защиты:

«Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.»

Оператор - так закон называет того, кто организует или осуществляет обработку персональных данных и определяет её цели (пункт 2 статьи 3). Относится ли это к вашей компании, выясняет юрист. Что делать владельцу сайта при инциденте, какие уведомления и сроки называет закон, разобрано в статье «Утечка персональных данных: что делать владельцу сайта».

Что спросить подрядчику до запуска и что закрепить в договоре?

Коротко: восемь вопросов подрядчику опираются на источники статьи. Ответы стоит получить до запуска и записать в договор или в техническое задание, чтобы у каждой меры был названный ответственный.

Вопросы собраны из разделов о сигналах, признаках, мерах WordPress и порядке снятия ограничений. После каждого указана опора.

  1. Какая система управляет сайтом, кто обновляет её и плагины и как подрядчик узнаёт о новых версиях? Опора: Hardening WordPress, разделы Updating WordPress и Plugins. Что такое CMS - в статье «CMS: что это и нужна ли она сайту - вопросы подрядчику».
  2. Откуда установлены система, тема и плагины? Опора: Hardening WordPress, разделы Updating WordPress и Security Themes (WordPress.org или хорошо известные компании).
  3. Кто получает уведомления Search Console и Яндекс Вебмастера и на чей аккаунт подтверждены права на сайт? Опора: справка Яндекса о подписке на уведомления; запись блога Google о подтверждении прав.
  4. У кого логины и пароли администратора, хостинга и FTP и включена ли двухэтапная проверка? Опора: Hardening WordPress, разделы Passwords и FTP. Как передают доступ разработчику - в статье «FTP-доступ к сайту: что это и как дать его разработчику».
  5. Где лежат копии сайта и проверял ли кто-нибудь, что из них можно восстановить сайт? Опора: Hardening WordPress, разделы Data Backups и Restricting Database User Privileges; Google в разделе «Тип взлома: внедрение кода» называет замену заражённых файлов резервными копиями. Подробности - в статье о бэкапе сайта.
  6. Кто смотрит журналы и следит за изменениями файлов на сайте? Опора: Hardening WordPress, разделы Logging и Monitoring.
  7. Что берёт на себя хостинг, а что остаётся владельцу сайта? Опора: Hardening WordPress, раздел Website Hosts, где говорится о границе ответственности хостинга и владельца сайта.
  8. Кто восстанавливает сайт после взлома, в какой срок и входит ли это в оплату? Опора: справка Search Console о навыках, нужных для устранения вредоносного ПО; решение об оплате и сроках остаётся условием договора.

Пятый вопрос опирается на фразу руководства WordPress о проверенных копиях:

"regular whole database backups which you have tested are valid and that can be easily restored"

Перевод наш: регулярные полные копии базы данных, которые вы проверили и которые можно легко восстановить. Фраза стоит в разделе о правах пользователя базы данных WordPress и говорит о копиях базы данных. Для копий всего сайта вопрос о проверке восстановления остаётся вопросом подрядчику.

Как записать ответы в договор и какие пункты о приёмке проверить, разбирает статья «Договор на разработку сайта: что говорит ГК и что проверить до подписи».

Какое место в процессе занимает запуск?

Коротко: на главной bitspark.ru шаг «Запуск» описан как проверка desktop и mobile, скорости, форм и ключевых сценариев. Вопросы о доступах, копиях и уведомлениях относятся к тому, что нужно решить до этого шага.

Шаг «Запуск» в описании процесса на главной bitspark.ru звучит так:

«Проверяем desktop и mobile, скорость, формы и ключевые сценарии - затем запускаем.»

Формы входят в перечень проверок шага «Запуск». Вопросы из предыдущего раздела относятся к тому же моменту: ответы на них нужны до запуска.

Источники

Данные на 21.10.2026.

Обсудить проект в Telegram: t.me/billioniks

Читайте по теме

Все статьи раздела «Дизайн и элементы сайта» →