Staging-сайт — это не тест, это уязвимость
Наткнулся на разбор о том, как безопасно делать staging-сайты — и понял, что многие владельцы сайтов думают, будто это просто «тестовая копия». А на деле — это ещё одна точка входа для вредоносов. И если её не закрыть, заразить можно весь сайт.
Staging — это не «для теста», а дыра
Попался на статье про staging-сайты — и вдруг понял, что у многих клиентов эти копии просто висят в интернете. Без пароля, без доступа по IP, с полным доступом к базе. И это не «временно» — это постоянная уязвимость. Я уже давно вижу, что заражение чаще всего не от «хакеров, выбранных лично вас», а от ботов, которые сканируют всё подряд. И staging-сайт — идеальная мишень.
Считаю, что это важно не потому, что «вот, взломали», а потому, что у вас может быть копия сайта, где хранятся пароли, API-ключи, даже данные клиентов — и она доступна всем. Это не «тест», это уязвимость, которая ждёт, пока её найдут.
Как это устроено — копия, которая сама себя выдаёт
Когда делают staging-сайт, копируют всё: файлы, базу, настройки. И если не закрыть доступ — он оказывается в открытой сети. Боты сканируют поддомены, ищут wp-login, ищут файлы вроде wp-config.php. Если у них есть доступ — они могут вставить код, поставить майнер, залить вирус. А потом — уже через этот staging — получить доступ к основному сайту.
На мой взгляд, важнее другое: даже если staging не взломали, он может быть помечен как вредоносный. Потому что в нём может быть код, который антивирусы распознают. И тогда поисковики блокируют весь домен — даже если основной сайт чист.
Как понять, что это касается вашего сайта
Я проверяю это первым делом: смотрю, есть ли поддомен вроде staging.ру, dev.ру, test.ру — и проверяю, доступен ли он публично. Если да — и в нём есть wp-login, wp-admin, файлы вроде wp-config.php — это красный флаг. Даже если сайт «тестовый», он всё равно должен быть защищён.
Проверяю, не сканирует ли его VirusTotal. Если там есть «вредоносный» — значит, кто-то уже заразил. Или сайт уже заблокирован. Это не «может быть», это уже произошло.
Что я делаю в таких случаях
Уже начал удалять staging-сайты у своих клиентов. Если не нужен — удаляю. Если нужен — ограничиваю доступ до IP, ставлю пароль, отключаю индексирование. Удаляю из базы реальные данные — оставляю только тестовые. Заменяю все ключи, отключаю платежи и email.
Начинаю с резервной копии. Потом — проверяю, что в коде нет скриптов типа CoinHive, cryptonight, miner.start(). Если есть — удаляю. Потом — проверяю, не осталось ли уязвимостей в плагинах или темах, которые были скопированы.
Что здесь даёт поддержка
На нашей поддержке мы не просто чистим заражение — мы закрываем причину. Потому что если не закрыть дыру, заражение вернётся. И не от «хакеров, выбравших вас», а от ботов, которые массово сканируют уязвимости. У нас мониторинг доступности и ключевых страниц каждые несколько минут, 24/7. Это значит, что мы видим, когда сайт стал недоступен, когда появился вирус, когда начался скрипт-майнер — и реагируем до того, как это заметит клиент.
Если вы не уверены, что у вас нет staging-сайтов — приглашаю на бесплатный аудит безопасности. Проверим, где может быть дыра, и закроем её.