Аудит безопасности сайта
Аудит безопасности - это проверка сайта на известные уязвимости до того, как их найдут злоумышленники. Большинство взломов происходит через типовые проблемы: устаревший плагин с публичной CVE-уязвимостью, открытая папка .git с исходным кодом, забытый .env с паролями от базы, слабые права на загрузки. Все эти вещи можно обнаружить за один аудит.
Веб-студия Enternet проводит аудиты безопасности с 2012 года для сайтов на WordPress, Joomla, Drupal, OpenCart, Bitrix и кастомных PHP-проектов. После работы заказчик получает структурированный отчёт с описанием найденных проблем, оценкой их критичности и конкретными рекомендациями по устранению.
Что мы проверяем
Инструменты и методы
Для автоматизированного сканирования используем WPScan для WordPress, JoomScan для Joomla, droopescan для Drupal, Nuclei с базой шаблонов для общих веб-уязвимостей, Nikto для серверной части. Эти инструменты быстро находят известные публичные проблемы и значительно сужают поле ручного анализа.
Дальше идёт ручная проверка: смотрим конфигурационные файлы, анализируем код кастомных плагинов и шаблонов на наличие функций eval, include с переменными, неэкранированный вывод пользовательских данных. Проверяем .htaccess на корректные правила и отсутствие подозрительных редиректов.
Отдельно прогоняем сайт через SSL Labs (ssllabs.com) для оценки качества HTTPS-настроек, через Security Headers (securityheaders.com) для проверки HTTP-заголовков, через Mozilla Observatory для общей оценки конфигурации.
Что вы получаете в отчёте
Список найденных проблем
С указанием конкретного файла, плагина или настройки, где проблема обнаружена.
Оценка критичности
Каждая проблема классифицируется как critical, high, medium, low по реальной угрозе.
Описание риска
Что может произойти, если уязвимость будет использована: утечка данных, дефейс, спам, взлом.
Конкретные рекомендации
Что именно сделать для устранения: обновить, заменить, перенастроить, удалить.
Приоритет исправлений
С чего начать в первую очередь, что можно отложить, что критично закрыть сегодня.
Когда нужен аудит
Раз в год - как плановая профилактика для любого сайта, который обрабатывает заявки, заказы или данные пользователей. После любого инцидента или подозрения на взлом, даже если последствий пока не видно. Перед запуском важного маркетингового канала или рекламной кампании, когда вырастет трафик и внимание.
Также аудит имеет смысл при смене подрядчика по поддержке: новый исполнитель видит реальное состояние сайта, а заказчик получает независимую оценку того, что досталось в наследство. Это снимает много спорных моментов на старте сотрудничества.
Частые вопросы
Нет. Аудит проводится без вмешательства в работу сайта. Сканирование делается аккуратно, чтобы не нагрузить сервер. Если требуется проверка устойчивости к нагрузке, это согласовываем отдельно.
Похожие услуги
Проверим сайт на уязвимости и дадим план исправлений
Расскажите о задаче - подготовим решение и бесплатный расчёт стоимости. Без обязательств.