На сайте всё работает, заявки приходят, а на сервере давно нет обновлений безопасности. Снаружи такое не видно, поэтому владелец часто ничего не знает. Дальше — что обычно прячется за «простым» сайтом и как проверить это самому за пять минут.
О чём вы узнаете
- Какие три проблемы остаются незаметными, пока сайт «просто работает»
- Как выглядели два реальных сайта с такими проблемами
- Какие пять проверок владелец сделает сам за пять минут
- С чего начать, если что-то насторожило
Три проблемы, которых не видно снаружи
Бэкапов нет, или их ни разу не восстанавливали. Пока восстановление не проверено на практике, бэкапа фактически нет. Копия может делаться без базы данных, лежать на том же сервере, что и сайт, или быть битой уже несколько месяцев. Выясняется это, когда данные уже потеряны.
Ядро CMS или шаблон правили напрямую. Сайт работает, но обновить его уже нельзя: обновление затрёт доработки и сломает то, что на них держится. Остаётся выбор из двух плохих вариантов: жить на устаревшей версии с известными уязвимостями или платить за разбор чужих правок. Чем дольше откладывать, тем дороже выход.
Сроки никто не контролирует: сертификат, домен, хостинг. Истёк SSL-сертификат — браузер показывает предупреждение, и часть посетителей закрывает страницу. Не продлили домен — сайт недоступен целиком, а в худшем случае домен достаётся другому. Причина редко в деньгах: чаще напоминание уходит на почту, которую никто не читает.
Сертификаты будут жить всё короче
С 15 марта 2026 года максимальный срок действия SSL-сертификата сокращён до 200 дней, в 2027 году его снизят до 100 дней, а к 2029-му — до 47. Решение принял CA/Browser Forum, в который входят производители браузеров и удостоверяющие центры. Поэтому продление должно происходить автоматически, и кто-то должен проверять, что оно действительно срабатывает.
Два сайта, которые выглядели благополучно
Два случая из практики FlashFormat. Названия и сферы клиентов не раскрываем: дело не в них.
Каталог на 1С-Битрикс. Снаружи — обычный сайт с типовой логикой, всё работает. На сервере оказались CentOS 5 (поддержку прекратили в марте 2017 года), PHP 5.6 (поддержку закрыли в конце 2018-го) и Битрикс, который не обновлялся несколько лет. Для такого набора уже давно опубликованы способы взлома. Обновить модули или нормально настроить сертификаты в таком окружении нельзя. Владелец видел работающий сайт и не понимал, о чём идёт речь.
Интернет-магазин на популярном шаблоне. Сайт обслуживал отдельный подрядчик, и казалось, что всё под контролем. На деле — снова устаревшие операционная система, PHP и Битрикс, а сверху правки прямо в ядре и в шаблоне. Обновиться нельзя вообще: любое обновление ломает сайт. Кроме того, в одном из сторонних модулей нашлась уязвимость, которая позволяла постороннему выполнить код на сервере без пароля. Это фактически полный доступ к сайту.
Пять проверок на пять минут
Программистом для этого быть не нужно. Подойдёт телефон и доступ в админку.
-
Отправьте заявку через каждую форму, как обычный клиент
Плохой знак: письмо не пришло, попало в спам, пришло без части полей или лид не появился в CRM. Заодно посмотрите заявки за последнюю неделю: если их заметно меньше обычного, скорее всего, дело не в спросе, а в том, что форма отвалилась.
-
Посмотрите, что именно приходит в заявках
Что должно насторожить: спам, дубли, пустые отправки. Значит, у формы нет нормальной защиты, и менеджер каждый день вручную разгребает мусор. Также проверьте, работает ли капча: она может стоять, но быть настроена так, что ничего не фильтрует.
-
Откройте «Проверку системы» и посмотрите версию PHP
В 1С-Битрикс это «Настройки → Инструменты → Проверка системы»: страница сверяет параметры сервера с требованиями продукта, критичные расхождения подсвечены красным. Повод разбираться: красные пункты в отчёте, ядро не обновлялось больше года, PHP, который больше не получает исправлений безопасности. Дату обновления и доступные обновления можно посмотреть в «Настройки → Marketplace → Обновление платформы».
-
Загляните в Яндекс.Вебмастер и Google Search Console
В Яндекс.Вебмастере нужен раздел «Безопасность и нарушения», в Search Console — «Проблемы безопасности». Плохие новости выглядят так: предупреждения о вредоносном коде или взломе, резкий рост ошибок обхода, страницы, выпавшие из индекса. Поисковики часто узнают о взломе раньше владельца.
-
Посмотрите баланс хостинга и на кого оформлен домен
Плохо, когда автопродление выключено, средств хватает на месяц вперёд, а домен оформлен на бывшего подрядчика или на личную почту сотрудника, который уже не работает. Последнее — самая неприятная находка: юридически сайт вам не принадлежит. В WHOIS данные владельца-физлица часто скрыты, поэтому надёжнее зайти в личный кабинет регистратора: там видно, на кого оформлен домен и включено ли автопродление.
Про версии PHP
По данным php.net, сейчас поддерживаются ветки 8.2–8.5; 5.x, 7.x и 8.1 уже не получают исправлений. У 8.2 поддержка безопасности заканчивается 31 декабря 2026 года. Для коробочного Битрикс24 сам разработчик с 1 февраля 2026 года ограничил поддержку PHP ниже 8.2 и рекомендует 8.3 и выше. Для «1С-Битрикс: Управление сайтом» версия PHP зависит от версии ядра: на старом ядре новый PHP может не заработать, и это ещё одна причина обновляться вовремя. Для сайтов на устаревших версиях уязвимости уже опубликованы.
Один вопрос на десять секунд
Если у вас есть подрядчик, задайте ему один вопрос.
Вопрос подрядчику
«Где лежит последний бэкап и когда его в последний раз восстанавливали?» Уверенный ответ обычно умещается в одно предложение. Если вместо ответа повисла пауза — это тоже ответ.
Что делать, если что-то насторожило
Не паниковать и не чинить всё сразу. Порядок такой:
-
Сделайте свежую копию сайта
И убедитесь, что она разворачивается. Пока это не проверено, копии фактически нет.
-
Наведите порядок с доступами и доменом
Эта часть на стороне владельца: домен, хостинг и админка должны быть оформлены на компанию, а не на бывшего подрядчика или сотрудника.
-
Обновляйте на копии, а не на работающем сайте
Обновления и правки ядра — на стороне разработчика, и сначала их стоит проверить на копии.
Итог
Мы регулярно разбираем такие проекты: смотрим окружение, обновления, резервные копии и сроки, помогаем расставить приоритеты и берём сопровождение на себя. Если на вашем сайте ядро не обновлялось больше года, нет проверенного бэкапа или вы не знаете, на кого оформлен домен, — лучше не откладывать. С такой проблемой мы сталкивались не раз: напишите нам на info@flashformat.ru или позвоните по телефону +7 (3952) 567-150, и мы подскажем, с чего начать.