Три речі, які трапляються найчастіше
Форми забиває спам. Щодня десяток заявок від «Jessica» англійською з посиланням на казино. Менеджер перестає їх читати — і одного дня пропускає справжню.
Сайт зламали через стару CMS. WordPress без оновлень пів року — найпоширеніша ціль. Боти шукають конкретні відомі вразливості автоматично, без участі людини. Наслідок: сторінки, яких ви не створювали, розсилка спаму з вашого домену й позначка «Цей сайт може завдати шкоди» у пошуку.
Немає бекапу. Або він є, але лежить на тому самому хостингу — і зникає разом із ним, коли акаунт блокують чи диск ламається.
Що я роблю
Аудит. Дивлюсь версії CMS і плагінів, права на файли, відкриті службові адреси
(/wp-admin, бекапи, .env, .git — їх дивовижно часто видно назовні), наявність
HTTPS і заголовків безпеки, історію змін файлів.
Закриваю знайдене. Оновлення, нормальні паролі й окремі облікові записи замість
одного спільного, обмеження доступу до адмінки, вимкнення переліку файлів у теках.
Ставлю заголовки: Content-Security-Policy, X-Frame-Options, HSTS, nosniff —
вони закривають цілі класи атак і нічого не коштують.
Захищаю форми. Приманка — приховане поле, яке бачить лише бот; він його заповнює й заявка тихо відкидається. Плюс обмеження: не більше кількох надсилань з однієї адреси за проміжок часу. Плюс перевірка на сервері, а не тільки в браузері — бот не відкриває сторінку, він шле запит напряму. Живий відвідувач не бачить жодної капчі.
Бекапи. Щоденна копія бази й файлів у сховище, не повʼязане з хостингом. Архів за 30 днів: якщо проблему помітили через тиждень, є куди відкотитись. Раз на місяць перевіряю, що копія справді розгортається — бекап, який ніхто не відновлював, це не бекап, а надія.
Моніторинг. Перевірка доступності кожні кілька хвилин. Якщо сайт не відповідає — повідомлення приходить у Telegram одразу, а не після дзвінка клієнта «у вас щось не працює».
Про персональні дані
Якщо ви збираєте телефони й імена через форму — а ви збираєте, — на сайті мають бути політика конфіденційності й згода перед надсиланням. Це не формальність: без цього ви ризикуєте і перед законом, і перед Google Ads, який перевіряє наявність політики під час модерації. Роблю обидва документи в межах опції, якщо їх ще немає.
Що це не вирішує
Захист не рятує від слабких паролів, які ви передасте комусь у листуванні, і від людини з доступом, яка щось видалить. Тому в роботу входять розділення доступів і бекапи — щоб будь-яку помилку можна було відкотити.
Якщо потрібен не разовий захист, а постійний догляд за сайтом — оновлення, дрібні правки й контроль — це техпідтримка, і моніторинг входить туди.