Сайт может быть аккуратным, быстрым и SEO-оптимизированным — но это не имеет значения, если в нём найдётся уязвимость. Один незакрытый доступ, устаревший плагин или заражённый файл — и скрипт вируса уже внедрён. Пользователи ничего не замечают, но в это время сайт перенаправляет трафик, рассылает спам, теряет позиции в поиске, а вы — клиентов.
Хуже всего, когда это происходит скрытно. Пока вы узнаете о проблеме, может быть уже поздно.
В этой статье — практический чеклист для тех, кто хочет предотвратить заражение, а не «лечить» последствия. Расскажем, как устроены вредоносные скрипты, где они прячутся и какие меры действительно работают.
Что такое вредоносные скрипты
Это фрагменты кода (чаще JavaScript или PHP), которые внедряются в сайт и выполняют чужую — вредоносную — логику. Они могут:
- выполнять редиректы на сомнительные сайты;
- загружать вредоносные файлы на устройство пользователя;
- собирать и отправлять личные данные;
- подменять контент;
- рассылать спам с сервера;
- использовать ресурсы сайта для майнинга или DDoS-атак.
Если ваш сайт стал источником трафика для атаки — вот как мы фильтруем вредоносные запросы на всех уровнях.
Скрипт может быть внедрён в .php, .js, .html, .htaccess, даже в .jpg (exif) и базу данных сайта.
Как понять, что сайт уже заражён
До полной поломки вредоносный код может не выдавать себя. Но признаки есть:
- внезапное появление подозрительных файлов (например, fyi.php, image.php);
- изменения в .htaccess, появление редиректов;
- новые SEO-страницы с подозрительными ссылками;
- уведомления от Google Search Console или Яндекс.Вебмастера;
- падение трафика, жалобы на вирусы, всплески по FTP;
- нагрузка на сервер без объяснимых причин.
Иногда такая нагрузка — следствие заражения.
Писали, как это может привести к Kernel Panic.
1. Установите SSL и включите HTTPS
Шифрование соединения — это защита от MITM-атак. Без HTTPS трафик может быть подменён на любом участке сети.
На всех тарифах Webhost1 — автоматический Let’s Encrypt. Для бизнеса — лучше GlobalSign с гарантией и поддержкой.
2. Включите Content Security Policy (CSP)
CSP указывает браузеру, какие ресурсы можно загружать. Пример:
Content-Security-Policy: default-src 'self'; script-src 'self';
Настроить можно в .htaccess, конфиге сервера или через CMS (WordPress, Joomla, Bitrix). На хостинге с ispmanager — это делается в веб-интерфейсе.
3. Защитите формы и поля от инжектов
Обязательно:
- экранируйте ввод: htmlspecialchars, filter_input;
- проверяйте длину, тип, формат;
- запрещайте теги <script>, <iframe> и т.п.;
- не вставляйте данные в eval(), SQL-запросы, innerHTML.
4. Обновляйте CMS, плагины и PHP
Главный источник уязвимостей — устаревшие модули. Что важно:
- всегда используйте последнюю стабильную версию CMS;
- удаляйте старые или неиспользуемые плагины полностью;
- обновляйте PHP до безопасной версии (например, 8.1+).
5. Настройте антивирус и WAF
На сервере можно включить:
- AI-Bolit — сканирует PHP-код на вредоносные шаблоны;
- ImunifyAV — встроен в ispmanager, удобен для хостинга;
- WAF — фильтрует вредоносные HTTP-запросы.
А если хотите глубже — можно вручную настроить iptables/nftables. Показывали, как это делается.
На VPS от Webhost1 всё это можно подключить вручную или как услугу.
Мы также предлагаем BitNinja — интеллектуальный антивирус, который выявляет вредоносный код до того, как он успеет сработать.
Защита на уровне ядра, WAF, поведенческий анализ и репутационные фильтры.
Включить BitNinja на сервере → Выберите лицензию BitNinja
6. Делайте резервные копии
Это не защита, а подстраховка. Важно:
- хранить бэкапы вне корневой директории сайта;
- сохранять версии за разные даты (неделя, месяц);
- делать бэкап перед любым обновлением.
На всех тарифах Webhost1 есть автоматическое резервное копирование.
7. Удалите неиспользуемые точки входа
Очистите директории:
- test.php, info.php, readme.html;
- админки по умолчанию (/wp-admin, /admin.php);
- /backup, /tmp, /logs.
8. Следите за логами
- access.log, error.log — на странные запросы;
- xferlog — по FTP;
- команды find, grep, inotify — на стороне сервера.
9. Мониторьте сайт снаружи
- Google Search Console и Яндекс.Вебмастер;
- Sucuri SiteCheck;
- UptimeRobot — на случай падения.
Вместо вывода
Защита сайта — это процесс. Даже хорошая CMS может стать уязвимой без обновлений и контроля. Не ждите, пока вредоносный скрипт уничтожит доверие к проекту.
Webhost1 даёт всё базовое: SSL, бэкапы, антивирус, администрирование, мониторинг, защиту от DDoS. Но даже это не сработает без вашей регулярной гигиены.
Обновляйтесь. Сканируйте. Защищайтесь. И пусть ваш сайт работает стабильно — не потому что его никто не трогает, а потому что он защищён.