18 октября 2026

Чем больше функций — тем больше дверей для взлома

Листал ленту и зацепился за статью про атакующую поверхность сайта — оказалось, это не про технические хаки, а про то, как каждый элемент сайта может стать дверью для взлома. И это меняет подход к безопасности.

Попался разбор у Sucuri про атакующую поверхность — и сразу понял, почему так много сайтов ломаются не из-за сложных атак, а из-за простых ошибок. Каждая форма, плагин, API, даже забытый staging-директорий — это точка доступа. И не важно, кто пришёл: бот, хакер или просто ошибка в настройке. Главное — кто может туда зайти.

Я считаю, что это важнее, чем просто «поставить антивирус». Потому что чистка — это реакция. А если не закрыть причину — заражение вернётся. И не от «хакеров, выбранных лично вас», а от автоматических сканеров, которые проверяют тысячи сайтов в час.

Как это устроено — зачем вообще всё это нужно

Представьте сайт как дом. У него есть входная дверь, окна, терраса, гараж. Каждый элемент — это функция: форма заявки, личный кабинет, плагин для соцсетей. И если вы оставили дверь открыть, даже на час, — кто-то может проникнуть. А если вы не знаете, где эта дверь, — её вообще не закрыть.

Суть в том, что каждая новая функция — это не только польза, но и риск. И чем больше таких элементов, тем больше уязвимостей. Даже если вы не думаете, что кто-то найдёт дыру — боты это делают за вас, систематически и без устали.

Как понять, что это касается вашего сайта

Я проверяю это первым делом — смотрю, что у сайта есть: формы, API, плагины, подключения к внешним сервисам. Потом — остатки: старые папки, бэкапы, тестовые страницы, доступные по URL. Даже если вы их не используете — если они на сайте, они в зоне риска.

Если у вас есть форма заявки — вы оператор персональных данных. Если у вас есть вход — это точка входа. И даже если вы не думаете, что это важно, боты думают иначе. Главное — не думать, что «у нас нет ничего ценного».

Что с этим делать — как я это закрываю

В таких случаях я начинаю с аудита: убираю всё, что не нужно. Старые папки — удаляю. Ненужные формы — отключаю. API — проверяю, кто к нему подключён. Плагины — проверяю, актуальны ли они. И всё, что не используется — из системы уходит.

Потом — настройка доступа: кто может что видеть, кто может что делать. И если что-то остаётся — только если оно защищено, проверено и включено по необходимости. Всё, что не нужно — не должно быть в интернете.

Что здесь даёт поддержка — закрытие причины, а не следствие

Как я закрываю эту задачу на постоянной поддержке — не жду, когда сайт упадёт или заразится. Я проверяю каждый элемент, который добавляется, и сразу оцениваю, как он влияет на безопасность. У нас нет «раз в месяц» — это постоянный контроль.

Главный итог не «мы починим», а «вы перестанете думать о сайте». Потому что безопасность — это не аврал, а привычка. Мы работаем с 2002 года, более 100 клиентов по всему миру. И каждый раз, когда кто-то говорит: «а у нас всё в порядке» — мы проверяем. Не потому что сомневаемся, а потому что так работает система.

Если хотите узнать, насколько ваш сайт открыт для атак — бесплатный аудит сайта ждёт вас.