Безопасность B2B-сайта: что проверить владельцу бизнеса

Коротко о главном

• Сайт теряет деньги не только при взломе. Чаще это тихие сбои: форма перестала отправлять заявки, истёк сертификат, CRM забита спамом. Их нужно ловить регулярной проверкой, а не после жалобы клиента.
• Основной путь в сайт - устаревшие плагины и модули и слабые доступы. По данным Patchstack, в 2025 году в WordPress, его плагинах и темах нашли 11 334 новые уязвимости, на 42% больше, чем годом ранее.
• С 15 марта 2026 года новые публичные SSL-сертификаты выдают максимум на 200 дней, а к 2029 году срок дойдёт до 47 дней. Без автоматического продления сайт однажды покажет посетителям предупреждение браузера.
• Форма заявки - зона юридического риска: отдельное согласие на обработку данных, хранение данных россиян в базах на территории России и 24 часа на уведомление Роскомнадзора при утечке.
• Резервная копия, которую ни разу не разворачивали на тестовой площадке, остаётся предположением, а не защитой.
• Владельцу не нужно разбираться в коде. Нужно знать, у кого есть доступы, кто и как часто обновляет сайт и что делать в первый час после инцидента.

Сайт ломается тихо, а платит за это отдел продаж

Возьмём обычную производственную компанию. Сайт запускали два года назад, реклама идёт, трафик стабильный. Но заявок за последние две недели вдвое меньше обычного. Выясняется, что после очередного обновления форма перестала доставлять письма, а почтовый сервис тем временем сменил настройки. Никто не взламывал сайт, скандала нет. Заявки просто уходили в пустоту.

Это тоже вопрос безопасности, если понимать его шире, чем защиту от хакеров. Сайт должен принимать заявки, хранить данные клиентов и выглядеть надёжно. Для B2B последнее особенно заметно. Клиент, который выбирает поставщика на несколько миллионов, открывает сайт до первого звонка, а иногда его проверяет служба безопасности. Красное предупреждение браузера, чужая реклама на странице или новость об утечке перечеркнут любое коммерческое предложение.

Дальше - то, что стоит проверить собственнику или коммерческому директору. Без терминов, на уровне вопросов, которые можно задать подрядчику и получить понятный ответ. Это не заменяет профессиональный аудит безопасности и консультацию юриста, но закрывает самые частые уязвимые места.

Доступы: кто сегодня может зайти в админку

Типичная картина выглядит так. Сайт делал подрядчик, домен когда-то оформил маркетолог на себя, хостинг оплачивает бухгалтерия, а в админке три общих логина, один из которых помнит уже уволившийся сотрудник. Для взлома такой компании не нужны сложные инструменты: хватит одного старого пароля из чужой утечки.

Начните с инвентаризации. Выпишите на один лист, на кого оформлен домен, где размещён сайт и кто плательщик, кто имеет доступ в админку, панель хостинга, аналитику и CRM. Если домен или хостинг записаны на частное лицо или на подрядчика, вы рискуете потерять сайт при любом конфликте.

Минимальные правила для доступов

Ничего сложного в них нет, но выполняют их немногие. Проверьте по списку, сколько пунктов у вас закрыто.

• Домен и хостинг оформлены на юридическое лицо, а контакт для восстановления - общий корпоративный ящик.
• У каждого человека свой логин, общих учётных записей нет.
• Двухфакторная аутентификация включена как минимум у администраторов сайта и в панели хостинга.
• Права выдаются по минимуму: контент-менеджеру не нужны права администратора.
• После завершения проекта или ухода сотрудника доступы отзываются в тот же день.
• Пароли хранятся в менеджере паролей, а не в чатах и таблицах.

Последний пункт кажется мелочью, пока не выяснится, что пароль от хостинга лежит в переписке трёхлетней давности, к которой имеют доступ полтора десятка человек.

Обновления и чужой код: откуда приходит большинство проблем

Сайт редко пишут целиком с нуля. Это ядро системы управления, тема оформления, плагины или модули, сторонние библиотеки, виджеты чата и аналитики. Каждая деталь - чужой код, который регулярно обновляют, и в котором время от времени находят дыры.

Масштаб хорошо виден на WordPress, где ведут открытую статистику. Patchstack насчитал там 11 334 новые уязвимости за 2025 год. В базе компании почти все проблемные компоненты - плагины (около 91%), на ядро системы приходятся единицы. Неприятнее всего скорость: для наиболее атакуемых уязвимостей медианное время от публикации до первой попытки эксплуатации составило около пяти часов. Схема «обновим в конце квартала» против этого не работает.

Если у вас не WordPress, принцип тот же. Битрикс, самописная система, конструктор с подключаемыми модулями - везде есть зависимости, которые устаревают. В обновлённом списке OWASP Top 10:2025, отраслевом перечне главных рисков веб-приложений, на первом месте остаются ошибки контроля доступа, когда пользователь может больше, чем ему положено. На втором месте ошибки настройки, а на третьем теперь сбои в цепочке поставок ПО, то есть проблемы в компонентах и зависимостях, на которых держится сайт.

Пять вопросов подрядчику

Задайте их письменно и попросите такие же письменные ответы. Это занимает полчаса и быстро показывает, как устроена поддержка на самом деле.

1. Кто и как часто обновляет ядро, плагины и модули, и прописано ли это в договоре?
2. Есть ли тестовая копия сайта, на которой обновления проверяют до выхода на рабочую версию?
3. Сколько плагинов и модулей установлено и можно ли убрать те, что не нужны?
4. Что вы делаете, если автор плагина перестал его поддерживать?
5. Откуда вы узнаёте о новых уязвимостях в используемых компонентах?

Сильный ответ конкретен: «раз в неделю, на тестовой копии, вот журнал изменений». Слабый звучит как «мы следим». Отдельно стоит вопрос про лишние плагины. Каждый из них - ещё одна дверь, и про неё обычно забывают первой.

Сертификат HTTPS: мелочь, которая вдруг становится проблемой

SSL-сертификат шифрует соединение между посетителем и сайтом. Когда он истекает, браузер показывает полноэкранное предупреждение, и многие посетители просто закрывают вкладку. Форма заявки после этого может продолжать работать, но до неё уже никто не доберётся.

Раньше сертификат продлевали раз в год, и дату можно было держать в голове. Теперь CA/Browser Forum, объединение центров сертификации и разработчиков браузеров, поэтапно сокращает максимальный срок действия.

Сейчас действует лимит в 200 дней. Для владельца вывод один: продление должно быть автоматическим. Спросите у подрядчика или хостинга, включено ли автопродление и кто получит уведомление, если оно не сработает. При ручном продлении через год-два всё упирается в человека: он в отпуске, письмо ушло на старую почту, сайт недоступен в самый неудобный момент.

Форма заявки: что требует закон и что часто упускают

Форма на B2B-сайте собирает имя, телефон, почту, должность, иногда название компании. Для закона 152-ФЗ это персональные данные, а значит, у компании обязанности оператора. Ниже три места, где проблемы встречаются чаще всего. Это не юридическая консультация, итоговые решения лучше сверять с юристом, который работает с персональными данными.

Согласие в форме

С 1 сентября 2025 года согласие на обработку персональных данных оформляется как отдельный документ. Его нельзя встроить в пользовательское соглашение, оферту или политику конфиденциальности. На сайте это обычно отдельный чекбокс со ссылкой на текст согласия. Согласия, полученные до этой даты, переоформлять не нужно. Откройте свою форму и проверьте: если там фраза вроде «используя сайт, вы соглашаетесь», её стоит заменить. Заодно убедитесь, что политика обработки данных открыта по ссылке.

Где физически лежат данные заявок

Часть 5 статьи 18 закона 152-ФЗ запрещает при сборе персональных данных граждан России, в том числе через интернет-формы, использовать базы данных за пределами страны. Формулировку ужесточили с 1 июля 2025 года. Штраф для юридического лица составляет от 1 до 6 млн рублей, при повторном нарушении от 6 до 18 млн.

На практике проследите путь заявки: форма, сервер сайта, CRM, почтовый сервис, чат-виджет, сервис рассылок, капча, аналитика. Если какое-то звено записывает данные на зарубежных серверах, обсудите с юристом и подрядчиком замену или схему, при которой первичная запись идёт в российскую базу.

Утечка и уведомление регулятора

Если утечка произошла, у оператора есть 24 часа с момента обнаружения на первичное уведомление Роскомнадзора и 72 часа на результаты внутреннего расследования. За пропуск срока юридическое лицо может получить штраф от 1 до 3 млн рублей, причём отдельно от наказания за саму утечку. За повторную утечку предусмотрены оборотные штрафы: от 1 до 3% годовой выручки, но не меньше 20 и не больше 500 млн рублей. Назначьте человека, который отвечает за персональные данные, и убедитесь, что компания внесена в реестр операторов.

Когда сайт недоступен: атаки и перегрузки

DDoS - это поток запросов, из-за которого сайт перестаёт отвечать реальным посетителям. Цифры у разных компаний расходятся из-за методики подсчёта, но направление общее. StormWall фиксирует рост числа таких атак на российские компании на 68% за январь-август 2026 года к тому же периоду 2025-го. По данным Kaspersky DDoS Protection, за январь-май 2026 года рост составил 27% по России и странам СНГ. «Солар» оценила среднее число DDoS-атак в первом квартале 2026 года примерно в 106 на одну организацию и отметила, что под волной оказались нефтегаз, энергетика и промышленность. Для производственных и технологичных компаний это не абстракция.

Чего ждать от подрядчика и хостинга? Во-первых, защита от DDoS на уровне хостинга или отдельного сервиса: как быстро включается и кто принимает решение. Во-вторых, мониторинг доступности с уведомлением в мессенджер. В-третьих, защита формы от спама: капча и ограничение частоты отправок, иначе CRM забьют фальшивые заявки. И ещё одна проверка, о которой забывают: автоматическая тестовая заявка раз в сутки. Она покажет, что форма сломалась, раньше, чем это заметит клиент.

Резервные копии: проверка, которую откладывают

Копия нужна на случай взлома, неудачного обновления, ошибки сотрудника или сбоя хостинга. У неё три типичные слабости. Копия лежит на том же сервере, что и сайт. Она содержит только файлы, но не базу данных, где хранятся страницы и заявки. Или её ни разу не восстанавливали, и в нужный момент выясняется, что она повреждена.

Попросите подрядчика один раз развернуть копию на тестовой площадке и засечь время. Уточните, как часто копии создаются, сколько версий хранится и где именно. Два ответа определяют график. Сколько данных вы готовы потерять: заявки за сутки или за час. И сколько простоя допустимо: час или два дня.

Ловушки, в которые попадают чаще всего

• «Сайт на конструкторе, платформа всё закрывает». Платформа отвечает за серверную часть. Доступы, права сотрудников, сторонние виджеты и согласие в форме остаются на вашей стороне.
• Безопасность обсуждали только при запуске. После релиза подрядчик уходит, и сайт месяцами не обновляют. Нужен договор на поддержку с перечнем регулярных работ.
• В техзадании нет ни слова о защите. Доступы, копии, обновления и порядок действий при инциденте лучше прописать заранее, а не обсуждать задним числом.
• Забытые копии сайта. Тестовые поддомены и старые версии, открытые без пароля, нередко содержат реальные данные и попадают в поиск.
• Заявки живут в почте и таблицах. Письмо, потом Excel, потом пересылка в мессенджер. Защитить такой путь сложнее, чем одну настроенную CRM.
• Сайт проверяют на глаз. Главная открывается, значит всё хорошо. При этом редиректы на чужие сайты или вредоносные страницы могут быть видны только из поиска или с мобильного устройства. Загляните в разделы безопасности Яндекс Вебмастера и Google Search Console.

Чек-лист на квартал

Чтобы проверки не растворились в текущих делах, закрепите за ними срок и ответственного. Ниже рабочая основа, которую можно скопировать в задачник.

Если сайт всё же взломали: первый час и первые сутки

Паника здесь вредит сильнее всего. Заранее договоритесь, кто принимает решения, и держите под рукой короткий порядок действий.

1. Зафиксируйте происходящее: скриншоты, время, что именно видно. Следы не удаляйте, они понадобятся при расследовании.
2. Свяжитесь с подрядчиком и хостингом. Если сайт показывает чужое содержимое или раздаёт вредоносный код, переведите его в режим обслуживания.
3. Смените пароли и завершите все сессии: админка, хостинг, база данных, почта. Делайте это с проверенного устройства.
4. Восстановите сайт из копии до даты взлома и сразу закройте уязвимость. Иначе взлом повторится через несколько часов.
5. Выясните, затронуты ли персональные данные. Если да, отсчёт 24 часов на уведомление Роскомнадзора уже идёт, подключайте юриста.
6. Подготовьте короткое сообщение клиентам и партнёрам: что произошло, что уже сделано, что нужно сделать им. Без оправданий и технических подробностей.

Репутацию определяет не сам инцидент, а то, как быстро и понятно вы о нём рассказали. Молчание обычно выглядит хуже, чем сама проблема.

С чего начать на этой неделе

Не пытайтесь закрыть всё сразу. Разложите задачи по порядку, и через две недели у вас будет понятная картина.

1. Составьте список доступов: домен, хостинг, админка, CRM, аналитика. Отзовите лишнее и включите двухфакторную аутентификацию.
2. Отправьте подрядчику пять вопросов про обновления и попросите письменный ответ. Заодно уточните, настроено ли автопродление сертификата.
3. Откройте форму заявки и проверьте согласие и политику. Передайте юристу список всех сервисов, куда уходят данные из формы.
4. Подключите мониторинг доступности и ежедневную тестовую заявку.
5. Попросите один раз восстановить сайт из копии на тестовой площадке и сообщить, сколько это заняло.
6. Внесите чек-лист в календарь: назначьте ответственных и даты.

Если внутренней команды, которая возьмёт это на себя, нет, такие проверки удобно включить в аудит сайта и договор на поддержку. Indiga Studio делает для B2B-компаний сайты как инструмент продаж и аудит маркетинга, и вопросы доступов, формы заявок и потерянных обращений можно разобрать в рамках такой работы. Глубокое тестирование на проникновение и юридическую оценку обработки персональных данных лучше доверить профильным специалистам.

Читайте также

• Скорость загрузки B2B-сайта: как замерить Core Web Vitals
• Почему IT-компанию не покупают с первого раза
• Техническое задание на сайт: структура, формулировки и ошибки заказчика