Как проверить сайт на безопасность самому, без программиста

Проверить сайт на безопасность можно самому, без программиста: самое заметное видно минут за двадцать в обычном браузере. Есть ли замок в адресной строке, не помечен ли сайт как опасный в Google и Яндексе, не появились ли на нём чужие страницы и у кого есть доступ к управлению. Это не докажет, что сайт нельзя взломать, но найдёт видимые проблемы. То, чего не видно из браузера, проверит разработчик по готовому списку ниже.

Что значит «сайт в безопасности», если сайт небольшой

Безопасность — не галочка, которую ставят один раз. Для сайта-визитки, небольшого интернет-магазина или приложения, собранного с помощью ИИ, она складывается из пяти простых вещей:

• Соединение защищено. За это отвечает HTTPS — замок слева от адреса. Всё, что посетитель вводит на сайте (телефон, почту, адрес доставки), передаётся в зашифрованном виде.
• Сайт не взломан. На нём нет чужих страниц, он не перенаправляет посетителей на другие сайты, поисковики не показывают предупреждений.
• Доступы под контролем. Хостинг, домен, админка (панель управления сайтом), почта. Кто попал в один из этих аккаунтов, может забрать и всё остальное.
• Секреты не лежат на виду. Сайт общается с другими сервисами: оплатой, рассылкой, базой клиентов, нейросетью. Для этого у него есть ключи — по сути, пароли. Некоторые из них не должны попадать в код, который скачивает каждый посетитель.
• Каждый видит только своё. Если у клиентов есть личный кабинет, один не должен видеть заказы другого.

Первые три пункта можно проверить в браузере. Ключи на виду найдёт онлайн-сканер. А убедиться, что каждый видит только своё, может тот, у кого есть доступ к коду, — или вы сами: войдите под двумя разными аккаунтами и проверьте, не открывается ли из второго заказ или профиль первого по той же ссылке.

Проверьте сами за 20 минут

Проверяйте настоящий адрес сайта, а не ссылку предпросмотра из конструктора. Понадобятся компьютер и телефон.

1. Откройте сайт в режиме инкогнито. В Chrome это «Новое окно в режиме инкогнито» (Ctrl+Shift+N, на Mac — Cmd+Shift+N), в Яндекс Браузере — режим Инкогнито (те же клавиши), в Safari — «Новое частное окно», в Firefox — «Новое приватное окно» (Ctrl+Shift+P). В таком окне вы не вошли ни в один аккаунт и видите сайт глазами постороннего. Вставьте туда адрес страницы, которая должна быть закрыта: админки, личного кабинета, списка заявок. Должна открыться страница входа, а не содержимое.
2. Проверьте замок и сертификат. Наберите адрес сайта, начав с http:// вместо https://. Браузер должен сам перейти на https://. Если рядом с адресом написано «Не защищено» или вместо сайта открылась страница «Подключение не защищено», исправьте это в первую очередь: увидев такое, посетитель, скорее всего, уйдёт. Затем узнайте, до какого числа действует сертификат — электронный «паспорт» сайта, благодаря которому работает HTTPS. В Chrome нажмите на значок слева от адреса, затем «Подключение защищено» → «Действительный сертификат»: дата окончания указана в разделе «Срок действия». Многие хостинги продлевают сертификат сами. Если до конца срока осталось несколько дней, уточните, так ли это у вас.
3. Откройте сайт с телефона через мобильный интернет. Выключите Wi-Fi и откройте сайт. Компьютер мог запомнить, что вы однажды открыли сайт, несмотря на предупреждение, а телефон, на котором вы сайт не открывали, покажет предупреждение как есть. Кроме того, некоторые взломы перенаправляют на чужой сайт только посетителей с телефона или тех, кто пришёл из поиска. Поэтому найдите свою компанию в поиске на телефоне и перейдите по ссылке оттуда. Заодно отправьте себе заявку через форму: она должна дойти.
4. Узнайте, не считают ли поисковики сайт опасным. Вставьте адрес в проверку сайтов Безопасного просмотра Google. Она покажет, не замечены ли на сайте вредоносные программы или фишинг — поддельные страницы, которые выманивают пароли и данные карт. Если сайт добавлен в Яндекс Вебмастер, откройте «Оптимизация сайта» → «Безопасность и нарушения». Что там бывает и как отправить сайт на перепроверку, объясняет справка Яндекса. В Google Search Console то же показывает отчёт «Проблемы безопасности».
5. Поищите страницы, которых вы не создавали. Наберите в Яндексе или Google site:ваш-сайт.ru, подставив свой адрес, и пролистайте результаты. Страницы на незнакомом языке, реклама казино, лекарств или подделок — частый признак взлома.
6. Посмотрите на счётчики, cookie и политику. Яндекс Метрика, Google Analytics и рекламные пиксели собирают данные о посетителях. Откройте главную страницу в окне инкогнито и найдите внизу ссылку на политику обработки персональных данных: закон о персональных данных (152-ФЗ) требует опубликовать её, если сайт собирает такие данные — например, через форму заявки. Если сайт показывает баннер о cookie и в нём есть кнопка отказа, нажмите её и обновите страницу: баннер не должен появляться снова. Если среди ваших клиентов есть жители Евросоюза, там аналитика и реклама, как правило, должны включаться только после согласия посетителя. Это не юридическая консультация: требования зависят от того, что именно собирает сайт, и детали лучше обсудить с юристом.
7. Проверьте заголовки безопасности. Заголовки — короткие служебные указания, которые сервер отправляет браузеру вместе с каждой страницей: например, «не показывай меня внутри чужого сайта» или «открывай меня только по HTTPS». Посетитель их не видит, но они закрывают целые классы атак. Вставьте адрес в HTTP Observatory от Mozilla: сервис на английском, но результат понятен без перевода — оценка от A+ до F. Низкая оценка — не повод для паники: обычно это небольшая настройка для того, кто ведёт сайт или хостинг. Но и A+ не значит, что сайт защищён, — Mozilla сама пишет об этом в разделе вопросов и ответов. Это один сигнал из многих.
8. Составьте список доступов. Кто может войти в хостинг, к регистратору домена, в админку сайта и в почту? Вы, нынешний подрядчик — и, возможно, прошлый фрилансер или сотрудник, который давно уволился. Удалите лишние доступы, смените общие пароли и включите двухфакторную аутентификацию везде, где она есть: это код из SMS или приложения в дополнение к паролю. У регистратора заодно посмотрите, до какого числа оплачен домен, включите автопродление и проверьте, что на балансе или привязанной карте хватит денег.
9. Спросите про обновления и резервные копии. На WordPress и 1С-Битрикс ядро, тема и плагины (модули) должны обновляться: забытый плагин — классический путь для взлома. Резервная копия — это полная копия сайта и базы данных, и хранить её стоит не только у хостинга. Спросите и о том, пробовали ли из неё восстановиться. Если сайт на Тильде, Wix или другом конструкторе, обновления делает платформа. На вас — пароли, доступы и код, который вы вставили сами: счётчики, виджеты, формы.

Если все девять пунктов в порядке, самые заметные проблемы вы исключили. Это хорошее начало, но не конец.

Если сайт или приложение собраны в Lovable, Bolt или Cursor, у них свои слабые места — вот что проверить перед показом клиенту.

Чего не видно из браузера

Некоторые проблемы глазами не заметить, как ни ищи:

• Секретный ключ в открытом коде. Код, который заставляет страницу работать, получает каждый посетитель. Если в нём лежит ключ от оплаты, нейросети или полного доступа к базе, его может скопировать кто угодно и пользоваться им за ваш счёт. Это частая ошибка сайтов, собранных с помощью ИИ, — подробнее о том, что ИИ не проверил за вас.
• Открытая база данных. Заявки, телефоны и заказы клиентов может прочитать кто угодно, если в базе не настроены правила доступа.
• Письма от вашего имени. Без двух настроек домена — SPF и DMARC — мошеннику проще отправить письмо, которое выглядит так, будто пришло с info@ваш-сайт.ru, а почтовым сервисам сложнее распознать подделку. Например, поддельный счёт вашим клиентам.

Здесь нужен сканер или человек, который ведёт сайт.

Готовый текст для разработчика или нейросети

Разбираться в терминах не нужно. Скопируйте текст и отправьте тому, кто ведёт сайт. Если сайт вы собрали сами, вставьте его в свой ИИ-инструмент: ChatGPT, Claude, Lovable, Cursor. Вопросы составлены так, чтобы ответ был понятен без технических знаний.

Здравствуйте!

Хочу проверить безопасность сайта [адрес сайта].
Ответьте, пожалуйста, по каждому пункту простыми словами:
«да» или «нет» и одно предложение. Пока ничего не меняйте.

- Всегда ли сайт перенаправляет на https? До какого числа действует
  сертификат и продлевается ли он автоматически?
- Обновлены ли движок, тема и плагины? Какие из них больше
  не поддерживаются разработчиками?
- Нет ли в коде, который получают посетители, секретных ключей
  (оплата, нейросети, база данных)? Если есть — какие и где?
- Можно ли без входа или из чужого аккаунта открыть данные клиентов:
  заявки, заказы, личные кабинеты? Как вы это проверяли?
- Какие заголовки безопасности отдаёт сайт (HSTS, Content-Security-Policy,
  защита от показа внутри чужого сайта) и каких не хватает?
- Запускаются ли счётчики аналитики до согласия посетителя
  и отключаются ли они, если он отказался?
- Есть ли у домена записи SPF и DMARC?
- У кого есть доступ администратора к хостингу, домену и сайту?
  Включена ли везде двухфакторная аутентификация?
- Когда сделана последняя резервная копия, где она хранится
  и проверяли ли восстановление из неё?

По каждой проблеме напишите, что нужно исправить и сколько это займёт.

Что исправлять в первую очередь

Если нашлось несколько проблем, начните с тех, что уже сегодня отпугивают клиентов или стоят денег:

• Предупреждение браузера или поисковика, чужие страницы. Сразу сообщите хостингу или подрядчику, смените пароли от хостинга и админки, вычистите сайт — и только потом отправляйте его на перепроверку в Яндекс Вебмастере и Google Search Console.
• Секретный ключ в открытом коде. Его может скопировать любой, чтобы тратить ваши деньги или читать ваши данные. Ключ нужно перевыпустить, то есть отключить старый, а не просто убрать из кода.
• Данные клиентов видны посторонним. Это может оказаться утечкой персональных данных, а о ней закон (статья 21 152-ФЗ) обязывает в течение суток уведомить Роскомнадзор. Это не юридическая консультация: если подозреваете утечку, сразу подключите юриста.
• Доступы бывших подрядчиков и аккаунты без двухфакторной аутентификации. Закройте лишние доступы сразу, даже если вы расстались по-хорошему: одного утёкшего пароля достаточно, чтобы потерять сайт.
• Истёкший сертификат. Чаще всего не сработало автоматическое продление, и хостинг может запустить его заново.
• Недостающие заголовки и настройки cookie. Обычно это короткая правка настроек.

Когда просите что-то исправить, спросите и о том, как проверить, что исправление сработало. Работа сделана, когда проверка проходит, а не когда кто-то сказал «готово».

Проверять регулярно, а не один раз: ScanYourSite

Такая проверка — снимок на сегодня. Следующее обновление, новый плагин или очередной промпт в ИИ-конструкторе могут незаметно отменить исправление.

ScanYourSite проверяет внешнюю часть этого списка за вас. Бесплатная проверка не требует регистрации и занимает около минуты. Она смотрит на сайт так же, как браузер: не входит в аккаунты, не отправляет формы и не подбирает пароли. Она проверяет:

• перенаправление на https и срок действия сертификата;
• недостающие заголовки безопасности и cookie без защитных настроек;
• секретные ключи в коде, который получают посетители;
• защиту домена от поддельных писем (SPF и DMARC);
• срок регистрации домена — если реестр зоны его публикует: у .com публикует, а у .ru, .рф и .su нет, так что для них главной проверкой остаётся дата у регистратора (шаг 8);
• ошибки и незагрузившиеся скрипты, которые видит браузер;
• счётчики аналитики и рекламы, например Яндекс Метрику и Google Analytics: работают ли они, когда на странице не найден известный сервис согласия на cookie, и есть ли ссылка на политику конфиденциальности или обработки персональных данных.

На баннер cookie сканер не нажимает, а самописный баннер может и не распознать. Поэтому работает ли отказ, по-прежнему покажут только шаг 6 и вопрос разработчику.

Отчёт выстраивает все находки по серьёзности. В бесплатной версии три самые важные объяснены простыми словами — с исправлением и готовым запросом для вашего ИИ-инструмента, в Pro объяснены все. Ссылка https://scanyoursite.app/ru?check=vash-sajt.ru, если подставить свой домен, открывает страницу проверки с уже заполненным адресом — останется нажать кнопку.

Бесплатный аккаунт следит за одним сайтом: проверка раз в неделю, еженедельная сводка на почту и предупреждение перед окончанием сертификата. Pro ($19 или €19 в месяц, три сайта) проверяет весь сайт каждый день, а после каждой выкладки новой версии за несколько минут проверяет, открывается ли сайт и не утёк ли секретный ключ. Ещё он раз в пять минут смотрит, доступен ли сайт, и сразу пишет, когда появляется новая проблема. На Pro, после того как вы подтвердите, что домен ваш, сканер также ищет файлы, которые никогда не должны быть открыты (например, .env с секретными настройками), а если сайт работает на Supabase — считает, сколько строк в таблицах может прочитать посторонний, не читая их содержимое.

Никакая проверка, включая эту, не докажет, что сайт невозможно взломать. Если вы сами принимаете платежи или храните чувствительные данные, например медицинские, нужен ещё профессиональный аудит безопасности. В остальных случаях регулярная проверка помогает узнать о проблеме от сканера, а не от клиента.