Безопасность сайта: чек-лист из 10 шагов
Практический список для владельца сайта: HTTPS, заголовки, обновления, пароли, открытые порты, резервные копии, защита почты и другое.
Эти 10 шагов — основа безопасности сайта. Большинство из них выполняется за несколько минут.
- 1. HTTPS везде и редирект 301 с HTTP на HTTPS; сертификат обновляется автоматически.
- 2. Включён HSTS (Strict-Transport-Security).
- 3. Заголовки безопасности: Content-Security-Policy, X-Frame-Options (или frame-ancestors), X-Content-Type-Options: nosniff, Referrer-Policy.
- 4. CMS, плагины, фреймворк и серверное ПО регулярно обновляются.
- 5. Версии сервера и ПО не раскрываются в заголовках (server_tokens off, expose_php = Off).
- 6. Админ-панель ограничена по IP или защищена 2FA; сильные неповторяющиеся пароли.
- 7. Базы данных, Redis, SSH, RDP и подобные службы не открыты в интернет (за firewall или VPN).
- 8. Файлы .env, .git, бэкапы (.sql, .zip) и логи отсутствуют в корне сайта или закрыты.
- 9. У cookie выставлены флаги Secure, HttpOnly и SameSite.
- 10. Защита почты: SPF, DKIM, DMARC; регулярные резервные копии и проверка восстановления.
Дополнительно
- Удаляйте неиспользуемые поддомены из DNS (риск subdomain takeover).
- Опубликуйте контакты по безопасности в файле /.well-known/security.txt.
Большую часть этого списка SecScan проверяет автоматически и показывает, чего не хватает, по приоритету.