Аудит безопасности сайта с планом исправлений
Находим то, через что взламывают обычные сайты компаний: забытые файлы, старые плагины, слабые пароли, открытые бэкапы. И объясняем, как это закрыть.
- Цена запуска до 31 декабряот 9 900 ₽
- Срокиот 3 рабочих дней
- Оформлениедоговор, оплата по счёту
Аудит безопасности сайта у нас про практику, а не про отчёт на сто страниц. Большинство сайтов малого и среднего бизнеса ломают не хитрыми атаками, а через то, что лежит на поверхности: забытый phpMyAdmin в корне, архив с базой данных, который можно скачать по прямой ссылке, плагин WordPress, не обновлявшийся три года, пароль «admin123» у бывшего подрядчика.
Мы знаем это по собственному опыту. Когда наводили порядок на сервере своих сайтов, из корней вынесли несколько копий Adminer и phpMyAdmin, десятки старых отладочных скриптов и полные бэкапы с базой данных, которые долгое время скачивались любым желающим без пароля. Никто специально их туда не клал на годы: каждый файл когда-то загрузили «на минутку». Рабочие скрипты переехали за пределы корня сайта, лишнее закрыто. Именно такие находки мы ищем у клиентов в первую очередь.
Честно о границах. Мы не пентест-лаборатория: не проводим тестирование на проникновение с социальной инженерией, не ищем уязвимости нулевого дня и не выдаём сертификатов или заключений для ФСТЭК, PCI DSS и проверок по 152-ФЗ. Если такой документ нужен для лицензии или банка, нужна лицензированная компания. Мы закрываем типовые дыры до такой проверки, чтобы за неё не пришлось платить дважды.
На выходе вы получаете не список страшных терминов, а план: что исправить сегодня, что в течение месяца, что можно отложить. Каждый пункт с объяснением, чем он опасен, и инструкцией для вашего программиста. Если программиста нет, исправления можем сделать сами.
Состав работ
Что входит
Поиск забытых файлов
Проверяем доступность adminer.php, phpMyAdmin, phpinfo, архивов .zip и .tar.gz, дампов .sql, папки .git, файлов .env и старых копий сайта в корне и подпапках.
Версии CMS и плагинов
Сверяем версии WordPress, Bitrix, Webasyst, Joomla и их модулей с базами известных уязвимостей. Отмечаем заброшенные плагины, которые уже никто не обновляет.
Права на файлы и владельцы
Ищем папки с правами 777, исполняемые файлы в каталоге загрузок, конфиги, доступные на чтение всем. Проверяем, от какого пользователя работает сайт.
Пароли и учётные записи
Список администраторов в CMS, хостинге и базе, старые учётки бывших подрядчиков, вход по SSH по паролю или по ключу, двухфакторная авторизация там, где её можно включить.
SSL и HTTPS
Срок сертификата, версии TLS, редирект с http на https, смешанный контент, HSTS. Проверяем через SSL Labs и вручную.
Заголовки безопасности
Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy. Даём готовые строки конфигурации под ваш сервер.
Резервное копирование
Есть ли бэкапы, где хранятся, не лежат ли рядом с сайтом в открытом доступе, когда последний раз из них восстанавливали сайт.
Открытые порты и сервисы
Сканируем сервер на открытые порты: торчащая наружу база MySQL, панель управления на стандартном адресе, забытые тестовые сервисы.
Следы взлома
Проверяем файлы на веб-шеллы и внедрённый код сканером вроде AI-Bolit и вручную, смотрим недавно изменённые файлы и подозрительные задания cron.
Процесс
Как работаем
- 1
Внешняя проверка
Без доступов смотрим сайт так, как видит его злоумышленник: доступные файлы, заголовки, SSL, версии CMS, открытые порты.
- 2
Проверка изнутри
С доступом к хостингу или серверу разбираем файлы, права, учётные записи, бэкапы, задания cron и логи.
- 3
Отчёт с приоритетами
Каждая находка с уровнем риска: критично, важно, желательно. Пояснение простыми словами и конкретные шаги исправления.
- 4
Созвон
Проходим отчёт вместе с вами или вашим программистом, отвечаем на вопросы, согласуем, кто что исправляет.
- 5
Исправления и перепроверка
В расширенном пакете закрываем критичные пункты сами и через неделю повторно проверяем, что всё действительно закрыто.
Пакеты
Стоимость и пакеты
Это цены запуска, они действуют до 31 декабря: мы новая студия и набираем первых клиентов. Цены указаны «от», точную сумму называем после того, как посмотрим проект, и фиксируем в договоре.
Экспресс
от 9 900 ₽
Для быстрой внешней проверки сайта без передачи доступов.
- Поиск забытых файлов, админок и бэкапов
- Версии CMS и известные уязвимости
- SSL, HTTPS и заголовки безопасности
- Проверка открытых портов
- Отчёт с приоритетами исправлений
Стандарт
от 19 900 ₽
Для сайта компании на WordPress, Bitrix или Webasyst с доступом к хостингу.
- Всё из пакета «Экспресс»
- Проверка плагинов и модулей по версиям
- Права на файлы, учётные записи, пароли
- Проверка бэкапов и места их хранения
- Поиск веб-шеллов и внедрённого кода
- Созвон по отчёту
Расширенный
от 34 900 ₽
Для интернет-магазинов и сайтов на собственном VPS или выделенном сервере.
- Всё из пакета «Стандарт»
- Аудит настроек сервера: SSH, файрвол, nginx, PHP
- Перенос служебных скриптов за пределы корня сайта
- Исправление критичных находок нашими силами
- Настройка резервного копирования на отдельное хранилище
- Повторная проверка через неделю
Результат
Что будет у вас на руках
- Отчёт со списком находок и уровнем риска по каждой
- План исправлений: сегодня, в течение месяца, по возможности
- Готовые фрагменты конфигурации для заголовков и сервера
- Список учётных записей с рекомендациями, какие удалить
- Понимание, есть ли рабочие бэкапы и как из них поднять сайт
Частые вопросы
Чем ваш аудит безопасности сайта отличается от пентеста?
Пентест имитирует целенаправленную атаку, часто с социальной инженерией и поиском новых уязвимостей, и стоит от сотен тысяч рублей. Мы проверяем то, через что на практике взламывают большинство сайтов компаний: забытые файлы, старые версии, слабые пароли, открытые бэкапы и ошибки настройки. Для сайта без особых требований этого обычно достаточно, а для регулируемого бизнеса это хорошая подготовка к пентесту.
Вы выдаёте сертификат или заключение о безопасности?
Нет. Мы не аккредитованы ФСТЭК и не продаём сертификацию, а честный отчёт о найденных проблемах не стоит выдавать за официальный документ. Если банк, регулятор или заказчик требует заключение, его делает лицензированная организация. Мы можем помочь закрыть типовые дыры заранее.
Нужно ли давать вам доступы?
Для пакета «Экспресс» не нужно: проверяем сайт снаружи. Для глубокой проверки нужен доступ к хостингу или серверу и админке. Лучше заведите для нас отдельную учётную запись и удалите её после работы, это хорошая практика с любым подрядчиком.
Сайт уже взломан. Вы поможете?
Да. Сначала найдём, как именно зашли, иначе после очистки взлом повторится. Удалим вредоносный код, сменим пароли, закроем дыру и при необходимости поднимем сайт из чистой резервной копии. Если в поиске Яндекса появилась пометка об опасном сайте, после очистки отправим его на перепроверку в Вебмастере.
Как часто нужен аудит безопасности?
Разумно раз в год и после крупных изменений: смены подрядчика, переезда на новый сервер, установки новых модулей. Если сайт на поддержке, часть проверок, например обновления и сроки SSL, делается каждый месяц, и полный аудит нужен реже.
Сколько стоит аудит безопасности сайта?
От 9 900 ₽ за внешнюю проверку, от 19 900 ₽ с доступом к хостингу и от 34 900 ₽ с исправлением критичных находок и аудитом сервера. Это цены запуска до 31 декабря 2026 года: мы новая студия, набираем первых клиентов и поэтому держим их ниже рынка.
Что ещё может пригодиться
Защита сайта от ботов
Отсекаем ботов на уровне сервера, чистим статистику Метрики и закрываем формы от спама так, чтобы живые посетители ничего не заметили.
Техническая поддержка сайта
Следим, чтобы сайт работал, был обновлён и защищён, а мелкие правки делались за день, а не за неделю.
SEO-аудит
Находим, что мешает сайту расти в Яндексе, и раскладываем исправления по приоритетам: что делать сразу, что потом, а что можно не трогать.
Заявка
Аудит безопасности сайта: обсудим задачу
Опишите, что нужно, и пришлите адрес сайта, если он есть. Посмотрим, предложим решение и назовём цену и срок. Консультация бесплатная.
- Ответим в течение рабочего дня
- Работаем по договору, оплата по счёту
- Сначала план и смета, потом работа
Или напишите: hello@sitekod.ru