Как устроена защита сайта
Три схемы размещения и что в каждой защищено: сайт без серверного кода, приложение за стеной, гибрид со старой системой управления. Какая схема у вашего сайта, показывает паспорт безопасности.
Взламывают не страницы, а программы, которые их собирают: систему управления, её плагины, форму, которая пишет в базу. Поэтому первый вопрос безопасности сайта не «какой антивирус стоит», а «где живёт серверный код и что до него дотягивается снаружи». У сайтов на платформе ответов три, и какой из них про ваш сайт, видно в паспорте безопасности строкой «Как устроена защита».
Схема 1, серверного кода на домене нет. Обычный сайт платформы собирается в готовые страницы и отдаётся с хранилища через сеть доставки. На адресе сайта нет ни системы управления, ни базы, ни входа в панель: ломать нечего. Формы, заказы, оплату и помощника принимает платформа на своей стороне, и это единственное место, куда уходят данные посетителей.
Схема 2, приложение за стеной. Если у сайта есть свой сервер (личный кабинет, каталог из базы, интеграции), он работает в изолированном контейнере на отдельной площадке. У базы нет публичного адреса: к ней пускают только по списку адресов, который вы задаёте в кабинете. Ключи и пароли хранятся в хранилище секретов, а не в коде. Каждый день приложение проверяют девять сканеров: уязвимые пакеты, ключи в коде, открытые порты, заголовки, права базы; находки видны на той же странице паспорта.
Схема 3, гибрид. Если старая система управления остаётся, платформа отдаёт только выбранные страницы через поддомен вашего сайта, а всё остальное живёт как было. Защита старой системы остаётся на её стороне; паспорт покажет, что видно снаружи, и с этого обычно начинают переезд.
Что общего у всех трёх: сертификат выпускается и продлевается сам, защитные заголовки включаются тумблером, каждая правка сайта записана и обратима, за доступностью следят круглосуточно, а паспорт безопасности пересчитывается каждый день.
Что важно знать
- Паспорт безопасности проверяет сайт снаружи, как любой сканер, и не заменяет аудит. Схема размещения говорит о том, что защищено по устройству; находки паспорта говорят о том, что видно и что стоит поправить.
- Чужой сервер, который платформа не размещает (например, ваша система учёта), под эти схемы не подпадает: его защита остаётся вашей задачей, а связь с сайтом стоит вести через формы и интеграции платформы, а не прямыми запросами со страниц.