Как проверить сайт на безопасность: бесплатные сервисы и чек-лист

Проверка сайта на безопасность — это регулярная гигиена, как и резервное копирование. 80% взломов происходят не от «гениальных хакеров», а от автоматических ботов которые сканируют интернет на устаревшие плагины и слабые пароли. Регулярная проверка помогает поймать проблемы до того как они превратятся в катастрофу.

5 бесплатных сервисов проверки безопасности

1. Sucuri SiteCheck (главный)

• Адрес: sucuri.net/website-security-check
• Сканирует сайт на вирусы и malicious код.
• Проверяет наличие в Google/Yandex blacklist.
• Показывает устаревшие CMS / плагины.
• Бесплатно, без регистрации.

2. Google Safe Browsing

• Адрес: transparencyreport.google.com/safe-browsing/search
• Показывает, помечен ли ваш сайт Google как «опасный».
• Если да — браузеры показывают красное предупреждение посетителям.
• Бесплатно.

3. Mozilla Observatory

• Адрес: observatory.mozilla.org
• Оценка конфигурации HTTPS, заголовков безопасности.
• Оценка от F до A+.
• Конкретные рекомендации.

4. Qualys SSL Labs

• Адрес: ssllabs.com/ssltest
• Детальная проверка SSL-сертификата.
• Оценка от F до A+.
• Проверка устаревших протоколов и шифров.

5. SecurityHeaders.com

• Адрес: securityheaders.com
• Проверка HTTP-заголовков безопасности.
• Оценка от F до A+.
• Рекомендации по Content Security Policy, HSTS, X-Frame-Options.

Дополнительные инструменты

• OWASP ZAP — продвинутое сканирование уязвимостей (для разработчиков).
• WPScan — специально для WordPress.
• Pingdom Tools — мониторинг доступности.
• Hetrix Tools — мониторинг blacklist в режиме реального времени.
• VirusTotal — проверка URL через 70+ антивирусов.

Чек-лист безопасности сайта

SSL / HTTPS

• ✓ SSL-сертификат активен и не истёк.
• ✓ Редирект с HTTP на HTTPS работает.
• ✓ Нет смешанного контента (mixed content).
• ✓ TLS 1.2+ включён, старые протоколы (SSL 3, TLS 1.0) отключены.

HTTP-заголовки безопасности

• ✓ Strict-Transport-Security (HSTS).
• ✓ X-Content-Type-Options: nosniff.
• ✓ X-Frame-Options: SAMEORIGIN.
• ✓ Content-Security-Policy настроен.
• ✓ Referrer-Policy: strict-origin-when-cross-origin.

CMS и плагины

• ✓ CMS обновлена до последней версии.
• ✓ Все плагины и темы обновлены.
• ✓ Удалены неиспользуемые плагины.
• ✓ Не используются «nulled» / пиратские темы.
• ✓ Версия CMS скрыта в HTML.

Аутентификация

• ✓ Двухфакторная аутентификация (2FA) включена.
• ✓ Сильные пароли (16+ символов).
• ✓ Менеджер паролей используется.
• ✓ Не используется логин admin / администратор.
• ✓ Лимит попыток входа настроен.

Файлы и доступы

• ✓ Права на файлы корректные (644 для файлов, 755 для папок).
• ✓ wp-config.php / config файлы недоступны через браузер.
• ✓ Файлы .env скрыты.
• ✓ Бэкапы хранятся вне основного сервера.
• ✓ Файлы загрузки не исполняются как скрипты.

Мониторинг

• ✓ Сканер безопасности установлен (Wordfence, Sucuri, MalCare).
• ✓ Уведомления о подозрительной активности включены.
• ✓ Ежедневные бэкапы автоматизированы.
• ✓ Логи сервера хранятся минимум 30 дней.
• ✓ Firewall активен (Cloudflare минимум).

Что делать при обнаружении проблемы

• Сайт в blacklist Google: срочно сканировать на вирусы, чистить, восстанавливать, подавать запрос на пересмотр.
• SSL грейд F или D: переустановить сертификат, обновить конфигурацию nginx/apache.
• Заголовки безопасности F: добавить в .htaccess или nginx config.
• Устаревшая CMS: срочное обновление с предварительным бэкапом.

Регулярность проверок

• Sucuri SiteCheck: еженедельно.
• Google Safe Browsing: ежемесячно.
• Полный аудит: ежеквартально.
• Penetration testing: ежегодно для крупных сайтов.

Не уверены в безопасности своего сайта? Включается в технический аудит — проверим всё по чек-листу и дадим рекомендации.