Безопасность сайта и SEO в 2026: 9 угроз и защита

Коротко: в 2026 году безопасность стала частью SEO, а не смежной темой для системных администраторов. Взлом бьёт по позициям быстрее любой ошибки оптимизации: сайт со вредоносными редиректами теряет видимость в Яндексе за считанные дни, а на снятие пометки «Опасный сайт» уходит от нескольких суток до пары недель. Девять базовых угроз — от устаревшей CMS и инъекций до DDoS, дыр в API и внешнего ссылочного спама — в значительной степени закрываются связкой WAF, актуального SSL/TLS, ролевой модели доступов и регулярной проверки по методологии OWASP. Стартовый бюджет — от 30–50 тыс. ₽.

Содержание

• Почему взлом бьёт по позициям сильнее, чем плохие тексты?
• Какие 9 угроз реально ломают трафик в 2026?
• Как понять, что сайт уже взломан?
• Что делать в первые 72 часа после взлома?
• Как выстроить оборону: SSL, WAF и шифрование — что реально работает?
• Чем пентест отличается от автоматического сканера?
• Сколько стоит защита и с чего начинать при ограниченном бюджете?
• Чему научили проекты
• Частые вопросы

Почему взлом бьёт по позициям сильнее, чем плохие тексты?

Потому что плохой текст — это медленный минус, а взлом — мгновенный. Поисковик может месяцами «думать» о качестве вашей статьи, но вредоносный редирект он находит за один обход и реагирует резко: понижение, а иногда и пометка «Сайт может угрожать безопасности вашего компьютера» прямо в выдаче.

Мы в DS495 много лет занимаемся продвижением, и лет пять назад безопасность была отдельной темой «для айтишников». Сейчас это часть SEO-чеклиста, наравне с robots.txt и скоростью загрузки. Логика простая: поисковые системы не хотят отправлять пользователя туда, где ему подсунут майнер или фейковую форму оплаты.

Самое обидное в этой истории — асимметрия. Позиции вы растите полгода, а потерять их можно за неделю. И возврат не автоматический: даже после чистки нужно дождаться переобхода, снятия санкций, восстановления доверия. По нашему опыту, полное восстановление трафика после серьёзного заражения занимает от трёх недель до нескольких месяцев — то есть дороже, чем любая профилактика.

Простая аналогия: сайт — это магазин. SEO — витрина и вывеска. Безопасность — замок на двери. Можно вылизать витрину до блеска, но если ночью внутрь заходят посторонние и переставляют ценники, покупатели перестанут приходить независимо от вывески.

Ещё один момент, который часто упускают. Уязвимости эксплуатируют не «хакеры-гении, которые выбрали именно вас». В подавляющем большинстве случаев это ботнет, который тупо перебирает известные дыры популярных CMS по всему интернету. Ему всё равно, у вас сайт цветочного магазина или федеральной сети. Он просто ищет незакрытую форточку.

Какие 9 угроз реально ломают трафик в 2026?

Коротко: девять сценариев дают львиную долю всех инцидентов — устаревшая CMS, инъекции, XSS, слабые доступы, DDoS, проблемы с SSL, дыры в API, заражённые интеграции и «чёрное» SEO извне. Всё остальное — экзотика, до которой в реальных проектах доходит редко.

Разберём каждую. Не по академической классификации, а по тому, как это выглядит с точки зрения владельца сайта.

1. Устаревшая CMS и плагины

Самая частая находка в наших аудитах. WordPress, Bitrix, Joomla — не важно. Опасна не сама система, а забытое обновление и десяток плагинов, поставленных «на попробовать» три года назад. Один брошенный модуль галереи — и у злоумышленника есть загрузка произвольных файлов.

2. SQL-инъекции

Классика из OWASP Top 10, которая упорно не хочет умирать. Форма поиска или фильтр каталога без нормальной параметризации запросов — и база клиентов утекает целиком. Особенно больно интернет-магазинам: там в базе не только email'ы, но и история заказов.

3. XSS и подмена контента

Межсайтовый скриптинг позволяет внедрить чужой JS в ваши страницы. Дальше — варианты: угон сессий, накрутка редиректов, вставка «дорвейных» ссылок, которые видит только поисковый робот. Владелец сайта при этом ничего не замечает: у него в браузере всё нормально.

4. Слабые пароли и отсутствие 2FA

Скучно, но это по-прежнему одна из основных причин. Админка на /wp-admin, пароль «Admin2024!», доступ у бывшего подрядчика. Двухфакторка отсекает массовые попытки такого рода — и она бесплатна. Отдельная боль — доступы к рекламным кабинетам и аналитике; про них мы подробно писали в материале о защите рекламных аккаунтов через 2FA.

5. DDoS-атаки

Сайт кладут не всегда ради выкупа. Иногда это конкурент перед сезоном распродаж, иногда — «шум» для прикрытия реального взлома. Для SEO опасен не сам простой, а его длительность: если робот несколько дней подряд получает 5xx, страницы начинают вылетать из индекса.

6. Проблемы с SSL и HTTPS

Просроченный сертификат — самый глупый способ потерять конверсию. Браузер показывает красный экран, пользователь уходит. Плюс смешанный контент (mixed content), редиректы с http на https через три хопа, отсутствие HSTS. Мелочи, которые в сумме дают минус к доверию.

7. Дыры в API

Мобильное приложение, личный кабинет, интеграция с 1С — везде API. И почти везде находится эндпоинт без авторизации, отдающий чуть больше данных, чем нужно. Классический IDOR: меняешь id в запросе и видишь чужой заказ. Мы разбирали это детально в статье про методы защиты API от утечек.

8. Заражённые сторонние скрипты

Виджет обратного звонка, чат, счётчик, «бесплатный» шаблон с торрента. Вы подключаете чужой JS, а он подключает ещё три. Цепочка доверия длинная, контроля — ноль. Здесь помогает Content Security Policy и Subresource Integrity.

9. Чёрный линкбилдинг и внешние атаки на репутацию

На вас льют массу спам-ссылок с помоек. Формально сайт не взломан, но алгоритмы видят неестественный ссылочный профиль. Отдельная тема, которой посвящён материал про защиту от чёрного линкбилдинга.

Угроза	Частота в аудитах	Влияние на SEO	Базовая мера
Устаревшая CMS/плагины	Очень высокая	Критическое	Регламент обновлений
SQL-инъекции	Средняя	Критическое	Параметризация + WAF
XSS	Высокая	Высокое	Экранирование + CSP
Слабые доступы	Очень высокая	Критическое	2FA, менеджер паролей
DDoS	Средняя	Среднее (растёт с простоем)	Anti-DDoS на уровне CDN
Ошибки SSL/TLS	Высокая	Среднее	Автопродление, HSTS
Уязвимости API	Высокая	Низкое прямое, высокое репутационное	Авторизация + rate limit
Сторонние скрипты	Средняя	Высокое	CSP, SRI, ревизия виджетов
Ссылочный спам	Средняя	Высокое	Мониторинг профиля

Как понять, что сайт уже взломан?

Прямой ответ: чаще всего первым сигналом становится не антивирус, а аномалия в статистике — резкий рост отказов с мобильных, всплеск страниц в индексе или падение позиций по коммерческим запросам без видимых причин. Проверить гипотезу можно за 20–30 минут.

Проблема в том, что современное заражение прячется. Никаких «Hacked by» на главной уже давно нет — это невыгодно. Выгодно тихо перенаправлять мобильный трафик на партнёрку и оставаться незамеченным месяцами.

Вот признаки, по которым мы обычно ловим проблему на старте аудита:

• Расхождение метрик. Счётчик показывает в разы меньше визитов, чем логи сервера. Значит, часть трафика уходит мимо, до загрузки счётчика.
• Мусорные страницы в индексе. Ищете site:вашсайт.ру и видите страницы про кредиты, ставки или фармацевтику. Классический дорвей внутри вашего домена.
• Скачок отказов именно на мобильных. Редиректы часто настраивают по User-Agent, чтобы владелец с десктопа ничего не увидел.
• Новые файлы с датой изменения посреди ночи. Особенно в /uploads, /tmp, /cache — местах, где исполняемого кода быть не должно.
• Письма из хостинга про исходящий спам или превышение нагрузки на CPU.
• Незнакомые администраторы в панели CMS или новые cron-задачи.

Хорошая привычка — раз в месяц открывать сайт в режиме инкогнито с мобильного через мобильный интернет (не через офисный Wi-Fi). Многие вредоносы фильтруют по IP и не срабатывают на повторных заходах.

Нужна помощь с этой задачей? Команда DS495 решит её под ключ. Обсудить проект →

Что делать в первые 72 часа после взлома?

Кратко: сначала отрезать доступ, потом восстановить чистую версию, и только затем искать вход. Порядок действий важнее скорости — если броситься сразу чистить файлы, вы уничтожите логи и не поймёте, через какую дыру пришли.

Пошаговый план, которым мы пользуемся сами:

1. Час 0–1. Снимите слепок. Полный бэкап заражённого состояния (файлы + база + логи веб-сервера минимум за 30 дней). Это ваша главная улика. Не чистите ничего до этого шага.
2. Час 1–2. Закройте вход. Смените все пароли: админка, FTP/SSH, база данных, панель хостинга, почта на домене. Отзовите API-ключи и токены интеграций. Завершите все активные сессии.
3. Час 2–4. Изолируйте. Если заражение массовое — включите заглушку с кодом 503 и заголовком Retry-After. Робот поймёт, что это временно, и не выкинет страницы из индекса так быстро, как при 404 или 500.
4. Час 4–12. Найдите точку входа. Грепните логи по подозрительным POST-запросам, посмотрите файлы, изменённые за последние 30 дней, проверьте таблицу пользователей на новые записи. Ищите webshell'ы — файлы с eval, base64_decode, assert в неожиданных местах.
5. Час 12–24. Восстановите чистую версию. Идеально — раскатить бэкап заведомо до заражения и накатить свежий контент вручную. Ручная чистка заражённого кода — вариант «на безрыбье»: почти всегда что-то остаётся.
6. Час 24–48. Закройте дыру. Обновите CMS и все компоненты, уберите неиспользуемые плагины, поставьте WAF в блокирующем режиме, ограничьте права на запись (файлы 644, каталоги 755, никаких 777).
7. Час 48–72. Реабилитация в поиске. Отправьте запрос на перепроверку в Яндекс.Вебмастере и Search Console, переобход ключевых страниц, проверьте sitemap на предмет мусорных URL и настройте мониторинг изменений файлов.

Отдельно про бэкапы. Бэкап, который лежит на том же сервере в папке /backup, — это не бэкап, а иллюзия. Шифровальщик заберёт его вместе с сайтом. Нормальная схема: минимум одна копия в другом физическом месте, ротация 30 дней, и раз в квартал — тестовое восстановление. Восстановление, которое ни разу не проверяли, слишком часто не срабатывает именно тогда, когда оно нужно.

Как выстроить оборону: SSL, WAF и шифрование — что реально работает?

Прямой ответ: эшелонированно. Один WAF без обновлений CMS бесполезен, как и идеальное шифрование при пароле «12345». Работает связка из четырёх слоёв — периметр, приложение, доступы, данные.

Начнём с транспорта. SSL-сертификат сегодня — гигиена, а не преимущество. Но важно, как он настроен:

• TLS 1.2 и 1.3, всё ниже — отключить. SSLv3, TLS 1.0/1.1 давно скомпрометированы.
• Автопродление. 90-дневные сертификаты хороши тем, что заставляют автоматизировать процесс; ручное продление рано или поздно забудут.
• HSTS с max-age=31536000 и включённым includeSubDomains. Браузер перестанет даже пытаться ходить по http.
• Один 301-редирект с http на https. Не цепочка из трёх.
• Ноль mixed content. Один <img src="http://..."> ломает замочек на всей странице.

Дальше — WAF. Файрвол уровня приложения фильтрует запросы до того, как они дойдут до кода: отсекает инъекции, попытки обхода каталогов, автоматизированный перебор. Ключевой нюанс: включать его нужно сначала в режиме мониторинга на 1–2 недели, собрать ложные срабатывания, и только потом переводить в блокировку. Иначе на второй день заблокируется ваш собственный интеграционный скрипт выгрузки товаров. Подробный разбор настройки есть в материале про комплексную защиту от DDoS через WAF.

Шифрование данных — то, о чём вспоминают последними. Минимум: пароли пользователей хранятся хешами с солью (bcrypt/argon2, никаких MD5), персональные данные в базе — в зашифрованных полях, бэкапы — в зашифрованном виде. Если базу всё же утащат, разница между «утекли хеши» и «утекли пароли открытым текстом» — это разница между неприятностью и катастрофой.

Слой	Что закрывает	Инструменты	Срок внедрения
Периметр	DDoS, ботов, сканеры	CDN с anti-DDoS, rate limiting, geo-фильтры	1–3 дня
Приложение	Инъекции, XSS, загрузку шеллов	WAF, CSP, валидация ввода, обновления	1–2 недели
Доступы	Брутфорс, инсайдеров, забытых подрядчиков	2FA, ролевая модель, VPN к админке, ревизия раз в квартал	2–5 дней
Данные	Последствия утечки	Хеширование, шифрование полей и бэкапов, маскирование в логах	1–3 недели
Контроль	Незамеченное заражение	Мониторинг целостности файлов, алерты, ежемесячное сканирование	2–4 дня

Чем пентест отличается от автоматического сканера?

Кратко: сканер ищет известные уязвимости по базе сигнатур, пентест ищет логические дыры, которые не найдёт ни один сканер. Первое стоит дёшево и делается за часы, второе — дороже и занимает от 5 дней, но находит принципиально другие вещи.

Пример из жизни. Сканер честно скажет: «версия библиотеки устарела, CVE такой-то». Полезно. Но он, как правило, не догадается, что в вашем интернет-магазине можно применить промокод дважды, если отправить два запроса одновременно. Или что смена email в личном кабинете не требует подтверждения старым паролем — и через сброс пароля угоняется любой аккаунт. Это логика бизнес-процесса, её проверяет только человек.

Мы обычно строим работу так: автосканирование по OWASP Top 10 — регулярно, раз в месяц, дёшево и в фоне (тут отлично заходит самописный скрипт автосканирования). А полноценный пентест — раз в год или после крупных релизов: новый личный кабинет, переезд на другую платформу, запуск оплаты.

Правило, которое мы вывели за годы: чем больше в проекте денег проходит через сайт, тем короче должен быть интервал между проверками. Для контентного блога хватит квартального сканирования. Для магазина с оборотом — тестирование на проникновение минимум раз в год плюс проверка каждого крупного релиза.

Что должно быть в отчёте по итогам? Не «список из сотен предупреждений сканера», а приоритизированный перечень: критичность по CVSS, шаги воспроизведения, конкретная рекомендация по исправлению и оценка трудозатрат. Отчёт, который нельзя отдать разработчику в работу, — это макулатура.

Сколько стоит защита и с чего начинать при ограниченном бюджете?

Прямой ответ: базовый уровень для типового корпоративного сайта закрывается бюджетом от 30–50 тыс. ₽ разово плюс несколько тысяч в месяц на сервисы. Пентест интернет-магазина — отдельная история, обычно от 80–150 тыс. ₽ в зависимости от объёма функционала.

Важнее суммы — порядок трат. Есть вещи, которые стоят ноль рублей и дают больше, чем дорогой файрвол.

Приоритет	Что делаем	Ориентировочные затраты	Эффект
1	2FA везде, ревизия доступов, удаление старых аккаунтов	0 ₽, 1 день работы	Отсекает типовые массовые атаки
2	Обновление CMS и компонентов, удаление ненужного	от 15 000 ₽	Закрывает главную группу уязвимостей
3	Нормальные бэкапы вне сервера + тест восстановления	от 500 ₽/мес	Заметно сокращает простой при инциденте
4	SSL с автопродлением, HSTS, чистка mixed content	0–5 000 ₽	Доверие пользователей и корректная индексация
5	WAF + anti-DDoS через CDN	от 2 000 ₽/мес	Фильтрация атак на периметре
6	Аудит безопасности с отчётом	от 40 000 ₽	Понятная картина рисков
7	Пентест	от 80 000 ₽	Логические уязвимости, которые не видит автоматика

Цифры ориентировочные — конкретная смета зависит от стека, объёма функционала и того, в каком состоянии проект достался. Иногда половина списка уже сделана, иногда приходится начинать с миграции с CMS, которую перестали поддерживать несколько лет назад.

Отдельно скажу про экономию. Самая дорогая экономия — на бэкапах и на времени разработчика для обновлений. Мы регулярно видим ситуацию: компания платит за антивирусный сервис, но не обновляет CMS, потому что «обновление сломает вёрстку». Это как ставить сигнализацию на машину с открытым люком. Если хотите разобраться в типовых просчётах — есть подробный разбор про 10 ошибок в кибербезопасности бизнеса.

Чему научили проекты

Один из показательных случаев в нашей практике — региональный интернет-магазин, который пришёл с формулировкой «упали позиции, наверное, алгоритм обновился». Классика: прежний SEO-подрядчик разводил руками, тексты переписывали по третьему кругу, толку ноль.

Задача. Понять, почему трафик по коммерческим запросам просел, хотя технически на сайте «всё в порядке».

Что сделали. Начали не с семантики, а с проверки логов. Выяснилось, что заметная часть мобильных посетителей с поиска уезжала на сторонний домен — редирект был вшит в один из старых плагинов и срабатывал только по определённым User-Agent и только для переходов из поисковиков. С десктопа владельца сайт открывался идеально, поэтому проблему не видели месяцами. Дальше — стандартный протокол: слепок состояния, смена всех доступов, откат к чистой версии, удаление неиспользуемых модулей, WAF сначала в мониторинге, потом в блоке, 2FA для всех администраторов и ежемесячное сканирование по OWASP.

Результат. Редиректы ушли сразу, поведенческие метрики на мобильных выровнялись в течение нескольких недель, позиции начали возвращаться после переобхода. Полное восстановление растянулось на несколько недель — без единой правки в текстах.

Вывод, который мы после этого проговариваем каждому клиенту: если трафик падает необъяснимо, проверяйте безопасность до того, как переписывать контент. Это дешевле и быстрее. Похожая логика описана и в соседнем материале про аудит безопасности сайта за три дня — заметная часть «загадочных» просадок объясняется технически.

Частые вопросы

В: Правда ли, что взлом напрямую понижает сайт в Яндексе?

О: Да, если на сайте появился вредоносный код или мусорные страницы. Яндекс помечает такие ресурсы предупреждением в выдаче, и кликабельность резко падает. После чистки нужно отправить запрос на перепроверку в Вебмастере — снятие пометки обычно занимает от нескольких дней до двух недель.

В: Достаточно ли бесплатного SSL-сертификата или нужен платный?

О: Для большинства сайтов бесплатного домен-валидированного сертификата достаточно — шифрование в нём точно такое же. Платные EV-сертификаты имеют смысл для банков и крупных финансовых сервисов, где важна юридическая проверка организации. Гораздо важнее правильная настройка: TLS 1.2/1.3, HSTS, автопродление и отсутствие смешанного контента.

В: Как часто нужно проводить пентест?

О: Для интернет-магазина и сервисов с платежами — минимум раз в год плюс после каждого крупного релиза: новый личный кабинет, смена платёжного шлюза, запуск API. Для контентного сайта достаточно автоматического сканирования по OWASP Top 10 раз в квартал. Ориентир простой: чем больше денег и персональных данных проходит через сайт, тем чаще.

В: WAF заменяет обновление CMS?

О: Нет. Файрвол фильтрует типовые атаки на входе, но не устраняет саму уязвимость в коде. Достаточно нестандартного вектора или обхода правила — и защита пробита. WAF выигрывает время между выходом патча и его установкой, но не отменяет необходимости обновляться. Работать это должно вместе, а не вместо.

В: Что делать, если хостинг заблокировал сайт за рассылку спама?

О: Значит, на сервере уже работает вредоносный скрипт. Запросите у хостера логи отправки почты, найдите файл-источник, сделайте полный слепок состояния, смените все пароли и раскатите чистый бэкап. После этого закройте точку входа — обычно это устаревший плагин или загрузка файлов без проверки типа. Затем попросите разблокировку.

В: Помогает ли перенос админки на нестандартный адрес?

О: Частично. Это отсекает массовые боты, которые перебирают стандартные пути вроде /wp-admin, и заметно снижает мусорную нагрузку на сервер. Но против целенаправленной атаки приём почти бесполезен — адрес находится по косвенным признакам. Рассматривайте это как дополнение к 2FA и ограничению по IP, а не как замену им.

В: Сколько времени занимает восстановление трафика после инцидента?

О: По нашему опыту — от трёх недель до нескольких месяцев. Скорость зависит от глубины заражения, скорости реакции и того, успел ли поисковик проиндексировать мусорные страницы. Чем быстрее выявлена проблема, тем короче срок: заражение, обнаруженное за сутки, часто обходится вообще без просадки позиций.

Это часть серии материалов о безопасности сайта и SEO. Смежный разбор серии: пентест интернет-магазина — 15 критических уязвимостей OWASP за 7 дней.

Читайте также

• Кибербезопасность бизнеса: 10 ошибок — типовые просчёты, из-за которых защита не работает
• Аудит безопасности сайта в 2026: 12 уязвимостей за 3 дня
• Пентест интернет-магазина: как выявить 15 критических уязвимостей OWASP за 7 дней и защитить платёжные данные от утечки через SSL-шифрование и настройку WAF в 2026 году
• Защита API веб-приложения: 9 методов от утечек в 2026

Нужна помощь с этим? Обсудить проект с DS495 →

Материал подготовил Матвей Л.