Охрана сайта от вирусов и взлома

Зачем нужна охрана

Заражённый сайт редко «ломается». Он работает, заказы идут, а внутри страниц сидит чужой код. Владелец узнаёт об этом от клиента, от хостера или по пометке Яндекса — когда ущерб уже есть.

В нашем разборе вставка на сайте магазина держалась не меньше 11 месяцев, и никто этого не замечал («Сайт взломали: что делать», по данным веб-архива). Охрана нужна, чтобы такое находили в тот же день, а не через год.

Что входит в охрану

1. Каждый день смотрим сайт глазами посетителя и поисковика. Ищем вирус, переадресацию на чужой сайт и пометку Яндекса «опасный».
2. Следим, что сайт открывается. Проверяем каждые 15 минут. Заранее предупреждаем, что кончается сертификат HTTPS (без него браузер пишет посетителям «небезопасно») и регистрация домена (не продлили — сайт перестанет открываться).
3. Нашли что-то — пишем в Telegram в тот же день. Что именно увидели, чем это грозит и что делать.
4. Раз в месяц присылаем короткий отчёт. Сколько сайт работал, что проверяли, что случилось.

Чистка в охрану не входит. Если найдём заражение, скажем, что видно, и предложим очистить сайт: от 25 000 ₽, а восстановление с закрытием входа — от 50 000 ₽. Охрана сообщает о находке, но сама ничего не чинит и не удаляет: решение за вами.

Как это выглядит: сообщение о тревоге и отчёт за месяц

Ниже — то, что приходит в Telegram. Сайт и цифры придуманы, формулировки — настоящие, их пишет наш бот. Все три сообщения — из одного условного дня.

Нашли проблему

Сколько это стоит

• Охрана — 3 000 ₽ в месяц. Все четыре пункта выше. Оплата помесячно.
• Сайт на нашей поддержке — охрана входит в пакет. Поддержка Битрикса или WordPress — от 25 000 ₽ в месяц: правки, обновления и ответ на сбой за 15 минут.
• Нашли заражение — чистка от 25 000 ₽, восстановление от 50 000 ₽. Это отдельная работа. Что входит и когда какая ступень.

Первая проверка бесплатна, даже если вы не подключите охрану. Оплата помесячно. Остановить подписку можно сообщением нам: со следующего месяца она не продлится.

Как начать

1. Пришлите адрес сайта и Telegram или телефон — форма внизу страницы. Отметьте согласие, чтобы мы могли проверить сайт снаружи.
2. Мы проверим сайт и напишем, что нашли. Заявка до 19:00 по Новосибирску — начнём проверку в тот же день, позже — на следующий. Работаем без выходных, с 8 до 21.
3. Подходит — договоримся об оплате первого месяца. Вы нажмёте ссылку в Telegram, и бот начнёт присылать вам тревоги и отчёты. Telegram нужен: сообщения приходят туда.

Частые вопросы

Что будет, если вы найдёте вирус?

Напишем вам в Telegram в тот же день: что нашли, где и чем это грозит. Дальше решаете вы. Можно очистить сайт у нас или у своего программиста. Сами мы ничего на сайте не меняем.

Вы заходите в мой сайт? Нужны ли доступы?

Нет. Мы открываем страницы так же, как любой посетитель, и смотрим, что они показывают. Ничего не меняем, ничего не отправляем на сайт и ничего на него не ставим. Поэтому пароли и доступы к сайту и хостингу нам не нужны — только адрес и ваше согласие на такую проверку.

Чем это отличается от антивируса на хостинге?

Антивирус хостинга обычно ищет вредные файлы на сервере. Мы смотрим на то, что сайт показывает людям и роботам: не отправляет ли он тех, кто пришёл из поиска, на чужой сайт, нет ли на страницах спрятанных чужих ссылок и чужих программ. Это разные проверки, и одна другую не заменяет. Нагрузки от нас почти не заметно: около 120 обычных запросов в сутки, как у нескольких посетителей.

Чего охрана не увидит?

Мы смотрим снаружи, поэтому не видим, что лежит внутри сервера: в файлах и в базе данных. Если чужой код включается уже после того, как страница открылась, мы заметим только его следы в самой странице. Если взломщик показывает чужое только настоящим роботам Яндекса и Google, мы этого не поймаем. Закрытые разделы, например личный кабинет, не проверяем. И ещё: охрана работает на нашем сервере, и если он сам выйдет из строя, проверки на это время остановятся. Проверка изнутри — это аудит безопасности сайта, 90 000 ₽.

Кому охрана не подойдёт?

Тем, кто не пользуется Telegram: тревоги и отчёты приходят туда. Тем, у кого весь сайт за паролем: мы смотрим только то, что видит любой посетитель. И тем, чей сайт блокирует незнакомые адреса, а разрешить наш не получается: тогда проверять нечем.

Сколько стоит и можно ли отказаться?

3 000 ₽ в месяц. Если сайт на нашей поддержке, охрана входит в пакет. Отказаться можно: напишите нам, со следующего месяца подписка не продлится.

На сайте стоит защита, которая блокирует незнакомые адреса. Что делать?

Скажите об этом при заявке. Мы назовём адрес, с которого проверяем, и вы его разрешите. Тогда защита не примет нас за взломщика.

Для технических специалистов

Раз в день (в 10:00 по Новосибирску) главная страница запрашивается под семью профилями: обычный браузер, браузер и телефон с Referer из Google и из Яндекса, YandexBot, Googlebot. Сравниваем ответы: коды, переадресации по заголовкам, по meta refresh и из JavaScript, набор внешних ссылок и скриптов. Ищем скрытые чужие ссылки, скрипты из списка известных вредоносных и скрипты-подсадчики, спам-страницы в карте сайта, новые сторонние скрипты по сравнению с первым осмотром. Известные сервисы (рекламные скрипты Яндекса, прозрачные кнопки Telegram, VK, Max) уликой не считаем.

Только GET и HEAD, около 25 запросов на осмотр и один запрос каждые 15 минут на проверку доступности. Пробы служебных файлов и закрытых разделов в охрану не входят: такие запросы режут fail2ban и WAF. Адрес, с которого мы приходим, называем при подключении, чтобы его можно было внести в список разрешённых.

Недоступность — после двух неудач подряд с интервалом в несколько минут. Прежде чем писать вам, проверяем ya.ru и google.com: если не открываются и они, проблема у нас, и мы молчим. Сертификат: проверяем, проходит ли он проверку, и предупреждаем за 14, 7, 3, 1 день и в день окончания. Домен: срок из whois регистратуры (.ru, .su, .рф) или RDAP, предупреждения за 30, 14, 7, 3 и 1 день. Подозрения (средняя уверенность) сначала смотрит человек у нас, и вам уходит только подтверждённое. Сообщения с 22:00 до 08:00 по вашему поясу приходят без звука.