Аудит безопасности сайта: что проверяют и как подготовиться

Аудит безопасности сайта — это проверка настроек, кода, сервера и доступов на известные слабые места с отчётом и планом исправлений. Онлайн-сканер за минуты находит только внешние признаки: устаревшую CMS, открытые файлы, ошибки сертификата. Аудит идёт глубже: смотрит права пользователей, плагины, конфигурацию сервера и логику доступа. Пентест — ещё следующий шаг: исследователь пытается реально воспользоваться найденным. Для большинства небольших сайтов разумный порядок — сканер, затем аудит, а пентест — когда есть личные кабинеты и платежи.

Сканер, аудит и пентест: в чём разница

Первую проверку можно сделать бесплатно: полная проверка сайта и проверка уязвимостей CMS покажут очевидные проблемы. Подробно о пентесте и его стоимости мы писали в статье «Пентест сайта: цена и что входит».

Что проверяют при аудите

Хорошая опорная рамка — OWASP Top 10:2025, список самых частых категорий уязвимостей веб-приложений. Аудит небольшого сайта обычно проходит по таким блокам.

Сервер и хостинг

• Версии ОС, веб-сервера, PHP или Node.js и сроки их поддержки.
• Вход по SSH только по ключам, закрытые лишние порты.
• Права на файлы и папки, отделение сайтов друг от друга.
• Где лежат резервные копии и можно ли из них восстановиться.

Процессы

• Кто и как часто ставит обновления.
• Как выдают и отзывают доступы подрядчикам.
• Есть ли план на случай взлома.

Как подготовиться за неделю

1. Составьте список всего, что относится к сайту: домены и поддомены, серверы, админки, интеграции, формы.
2. Определите, что важнее всего: оплата, личный кабинет, база клиентов, заявки.
3. Подготовьте доступы: учётка в админке с правами администратора, доступ к серверу или хостингу, при необходимости к репозиторию.
4. Сделайте свежую резервную копию перед началом работ.
5. Договоритесь о границах: что можно проверять на рабочем сайте, что только на копии, в какое время.
6. Назначьте человека, который отвечает на вопросы аудитора и получит отчёт.
7. Соберите известное: прошлые инциденты, жалобы клиентов, предупреждения поисковиков.

Каким должен быть отчёт

Полезный отчёт можно передать разработчику и сразу начать работу. В нём должны быть:

• Список находок с уровнем риска и понятным описанием последствий для бизнеса.
• Где именно проблема: адрес, файл, настройка.
• Как исправить или чем снизить риск, если исправить сразу нельзя.
• Приоритеты: что закрыть за сутки, за неделю, в плановом порядке.
• Что проверено и что не проверялось, чтобы не было ложного ощущения полной безопасности.

Аудит не даёт гарантии, что сайт невозможно взломать. Он снижает риск и показывает, куда вкладываться. Поэтому после исправлений полезна повторная проверка, а дальше — регулярные обновления и мониторинг.

Сколько стоит и от чего зависит

Цена аудита зависит от размера сайта, числа ролей и интеграций, наличия личных кабинетов и API, глубины проверки кода. Типовой сайт на популярной CMS проверяется быстрее, чем самописное веб-приложение. Наши условия указаны на странице аудита сайта, отдельные программы есть для WordPress и 1С-Битрикс.

Когда аудит нужен срочно

• Поисковик или браузер пометил сайт опасным.
• Появились странные администраторы, редиректы, спам-страницы.
• Ушёл подрядчик, у которого были все доступы.
• Сайт начал принимать оплату или хранить данные клиентов.
• Заказчик или партнёр требует подтверждение проверки безопасности.

Если есть признаки взлома, начните с них: в статье «Как понять, что сайт взломали: 12 признаков» собраны проверки, которые можно сделать самостоятельно.