Безопасность интернет-магазина: минимум

Безопасность интернет-магазина — это набор простых действий, уменьшающих шанс того, что сайт взломают, а данные покупателей утекут: обновления, надёжные пароли с двухэтапным входом, ограниченные права доступа, резервные копии и защита от автоматических атак. Идеальной безопасности не бывает, поэтому цель — закрыть самые частые пути, а остальное подготовить к восстановлению.

Простыми словами

Магазин хранит имена, телефоны, адреса и историю заказов. Если сайт взломали, последствия обычно не «хакер в капюшоне», а будничные вещи: в страницы вставили чужой код, покупателей перенаправляют на сторонние сайты, заказы исчезают, поиск показывает спам. Google описывает четыре типичные формы взлома: вставка вредоносного JavaScript в существующие страницы, создание новых спамных страниц, незаметные изменения существующего контента (скрытые ссылки, показ разного содержимого людям и поисковику) и перенаправление части посетителей на вредоносные страницы (Google Search Central). Владелец может годами не видеть проблемы, потому что в отдельных случаях вредоносный код показывается не всем посетителям.

Что происходит сейчас

• По отчёту Verizon DBIR 2026 (инциденты с ноября 2024 до октября 2025) уязвимости программного обеспечения стали основным способом проникновения, опередив украденные пароли; с уязвимостей начинаются 31% взломов (Verizon DBIR 2026).
• Человеческий фактор (фишинг, социальная инженерия, украденные учётные данные) остаётся среди самых частых причин. С мобильных каналов (поддельные СМС, звонки) обманывают успешнее, чем почтовым фишингом: кликабельность примерно на 40% выше (там же).
• Программы-вымогатели присутствуют в 48% взломов, а выкупы всё меньше (там же).
• Около 15% техник атак усилены генеративным AI (там же).

Отчёт не даёт отдельных цифр о малом бизнесе на странице обзора, поэтому не стоит переносить эти доли на конкретный магазин.

Минимум, который стоит иметь

CISA (агентство кибербезопасности США) сводит базовые советы к четырём шагам: избегать фишинга и сообщать о нём, использовать надёжные пароли, включить многофакторную аутентификацию вместе с менеджером паролей, обновлять программное обеспечение (CISA, Secure Our World). Для магазина это означает:

1. Обновления. CMS, плагины, темы, библиотеки. Это соответствует и тому, что уязвимости сейчас главный вход для атак. Если плагин больше не поддерживают, его заменяют.
2. Двухэтапный вход в админку и на почту. Особенно для почты владельца: через неё сбрасывают пароли от всего остального. Отдельная учётная запись на каждого человека, а при увольнении доступ закрывают в тот же день.
3. Минимум прав. Менеджеру по контенту не нужен доступ к настройкам оплаты. Это соответствует первому пункту списка OWASP Top 10:2025 — «Broken Access Control», когда пользователь может делать больше, чем ему разрешено (OWASP Top 10:2025).
4. Правильные настройки. В списке OWASP второе место занимает Security Misconfiguration: оставленные стандартные пароли, открытые служебные адреса, лишние функции. Третье — сбои в цепочке поставки ПО: чужие плагины и скрипты, которым доверяют, не проверяя (там же). Поэтому каждый сторонний виджет (чат, отзывы, аналитика) — это чужой код на вашей странице; подключайте только нужное.
5. HTTPS и платежи в защищённой форме. Карты принимайте через платёжного провайдера, а не храните сами. См. PCI DSS простыми словами.
6. Резервные копии, которые можно восстановить и которые лежат отдельно от сайта. См. резервные копии. CISA также советует логирование на системах, резервное копирование и шифрование данных и наличие плана действий на случай инцидента (CISA).
7. Защита от ботов и вредоносных запросов на уровне CDN или файрвола: см. боты и парсинг.
8. Журналы событий. В OWASP есть отдельная категория «сбои логирования и оповещений»: если события не записываются, взлом замечают поздно (OWASP Top 10:2025).

Типичные ошибки

• Один общий пароль администратора на всю команду.
• Забытые тестовые сайты и старые аккаунты с теми же данными.
• Резервные копии только на том же сервере.
• Полагаться на «нас не заденет, мы маленькие». Автоматические сканеры ищут уязвимые версии программ без разбора, чей это магазин.
• Вставлять данные клиентов в публичные AI-сервисы для быстрого ответа. См. риски AI в магазине.

Что делать, если сайт, похоже, взломали

Смена паролей и ключей, закрытие админки, восстановление из чистой копии, обновления, проверка почты и других доступов. Если клиентские данные могли утечь, обратитесь к юристу: для Европы действует GDPR, для Украины — закон о защите персональных данных, см. персональные данные в Украине. У Google есть отдельная инструкция по восстановлению (web.dev).

FAQ

С чего начать защиту интернет-магазина? Обновите программы и плагины, включите двухэтапный вход для админки и почты, уберите лишние аккаунты, проверьте, что резервная копия восстанавливается.

Как понять, что сайт взломали? Признаки: чужие страницы в поиске, перенаправление на сторонние сайты, новые неизвестные администраторы, предупреждение браузера. Google отмечает, что вставки могут быть незаметны для владельца (Google).

Нужен ли отдельный аудит безопасности? Для магазина с приёмом карт или большой базой клиентов проверка полезна. Техническую часть охватывает технический аудит.

Безопасны ли платформы «из коробки»? Зависит от настроек, обновлений и вашего стороннего кода; ответственность за пароли и права доступа остаётся за вами.

Связанные термины

• PCI DSS простыми словами
• Мошенничество с платежами и 3-D Secure
• Боты и парсинг цен в интернет-магазине
• Резервные копии интернет-магазина
• Риски AI в интернет-магазине: утечка данных и prompt injection
• Технический аудит сайта

Источники

• Verizon, 2026 Data Breach Investigations Report — verizon.com/business/resources/reports/dbir
• OWASP, Top 10:2025 — top10.owasp.org/2025
• CISA, Secure Our World — cisa.gov/secure-our-world
• Google Search Central, Spam policies (раздел о взломанном контенте) — developers.google.com/search/docs/essentials/spam-policies
• web.dev, Hacked sites — web.dev/articles/hacked