Защита сайта: SSL, WAF и восстановление

С чего начинается общий план

Определяем владельцев сайта и инфраструктуры, критичные пользовательские действия и последствия остановки. Собираем сведения о платформе, расширениях, административных доступах, доменах и внешних связях. Отмечаем неизвестное: отсутствие доступа к части среды ограничивает выводы и должно быть видно в результате.

Разделяем срочные признаки инцидента и профилактику. Если уже есть несанкционированные изменения, сначала нужен план восстановления после взлома. Покупка защитного сервиса поверх скомпрометированной среды не заменяет её проверку и очистку.

Какие меры выбираем и как они связаны

HTTPS и сертификат проверяем для защищённого соединения. WAF — для согласованной фильтрации веб-запросов. Отдельно рассматриваем доступы, обновления компонентов и защиту хранимых данных. Для каждой меры называем риск, ожидаемый результат и то, чего она не покрывает.

Составляем приоритеты по вероятным последствиям и зависимостям. Например, исправление доступа к резервам может быть важнее подключения ещё одного уведомления. Не оцениваем безопасность числом установленных модулей: лишняя сложность тоже требует сопровождения и понятного владельца.

Как проверяем план на практике

Для каждого изменения задаём безопасный контрольный сценарий. Проверяем разрешённые действия пользователей, корректность соединения и доступность событий защиты. Для резервного копирования нужен пробный возврат, а не только сообщение об успешном создании архива.

Передаём карту выполненных и отложенных мер, ограничения и действия после выпуска новых функций. Разграничиваем разовую настройку и дальнейшее наблюдение: кто разбирает уведомления, обновляет правила и принимает решения при отказе. Техническая приёмка подтверждает конкретные проверки, но не предсказывает все будущие угрозы.