Аудит безопасности сайта в 2026 году: что проверяют, как проверить сайт самому и сколько это стоит

Что проверяет аудит безопасности сайта?

Аудит безопасности сайта отвечает на три вопроса: кто может попасть внутрь, что посторонний может заставить сайт сделать и как быстро вы восстановитесь. Находки сверяют с OWASP Top 10:2025, восьмым выпуском списка рисков веб-приложений: первое место снова у нарушения контроля доступа, а ошибки конфигурации поднялись с пятого места на второе.

Хороший аудит проходит и сценарии, которые есть только у вашего бизнеса: промокоды, бронирования, выгрузки клиентской базы. Их правил не знает ни один сканер.

Как проверить сайт на безопасность и вирусы бесплатно?

Бесплатные сервисы смотрят на сайт снаружи, остальное видно в ваших панелях управления. Проверяйте только свои домены.

1. Проверьте HTTPS в SSL LabsБесплатный SSL Server Test от Qualys SSL Labs разбирает настройки любого публичного HTTPS-сервера. Цель — оценка A; ниже обычно означает старые протоколы или неполную цепочку сертификатов.
2. Оцените заголовки в HTTP ObservatoryHTTP Observatory на MDN даёт сайту 100 баллов и снимает или добавляет их за редиректы, HSTS, Content-Security-Policy, защиту от фреймов и политику Referrer; для A нужно 90.
3. Проверьте сайт на вирусыОткройте «Проверку сайта на безопасность» Яндекса и статус Safe Browsing в Google, затем VirusTotal — он сверяет адрес с более чем 70 антивирусами и чёрными списками.
4. Загляните в ВебмастерВ Яндекс Вебмастере откройте «Безопасность и нарушения», в Google Search Console — отчёт о проблемах безопасности. При угрозе Яндекс может показать предупреждение в выдаче, а перепроверка после лечения занимает до 30 дней.
5. Проверьте доступыВыпишите всех администраторов в CMS, хостинге, у регистратора и в репозитории, удалите учётные записи без владельца и включите двухфакторный вход.
6. Обновите и восстановите копиюОбновите CMS и плагины, удалите лишние и разверните вчерашнюю копию на тестовом адресе: только восстановление доказывает, что копия рабочая.

Ни один из этих сервисов не скажет, может ли клиент открыть чужой заказ, — для этого нужен человек, который читает правила доступа и код.

Самопроверка: насколько защищён ваш сайт

Сканер, аудит или пентест сайта: что выбрать?

Сканер — программа, которая сверяет сайт с известными проблемами; аудит — специалист, который проверяет настройки и код под ваши риски; пентест — человек, который пытается взломать сайт в согласованных рамках. Британский центр кибербезопасности NCSC не советует делать пентест основным способом поиска уязвимостей.

Для небольшого бизнеса порядок такой: бесплатные проверки, аудит с исправлениями, а пентест — когда независимый отчёт требует клиент или регулятор.

Как взламывают сайты и как защитить сайт от взлома?

Чаще всего — через известные дыры, которые не закрыли вовремя. По отчёту Verizon DBIR 2026 от 19 мая 2026 года, 31% взломов начинались с эксплуатации уязвимости — впервые за 19 выпусков чаще, чем с украденных паролей, а в 48% случаев был замешан подрядчик или поставщик.

На WordPress картина та же. Patchstack насчитал в его экосистеме 11 334 новые уязвимости за 2025 год — на 42% больше, чем в 2024-м; реальную угрозу несли 4 124, высокий уровень опасности был у 1 966. На плагины пришлось 91%, на темы — 9%, а в ядре WordPress нашли всего шесть малозначимых проблем.

Важен и темп: в 46% случаев исправления к публикации уязвимости не было, а самые атакуемые дыры начинали эксплуатировать через пять часов (взвешенная медиана). Защита сайта от взлома — это прежде всего удалённые лишние плагины, быстрые обновления и двухфакторный вход.

Сколько стоит аудит безопасности и пентест сайта в 2026 году?

От нуля за бесплатные сервисы до сотен тысяч рублей за ручной пентест. Ниже — стартовые цены из открытых прайсов.

Цену двигают число ролей и личных кабинетов, доступ к коду и повторная проверка. Oreol Security, например, считает от размера приложения, числа ролей, методов API и сложности бизнес-сценариев.

Законно ли проверять сайт на уязвимости и чем грозит утечка данных?

Свой сайт проверять можно, чужой — только с письменного согласия владельца, где указаны рамки и даты. Неправомерный доступ, повлёкший уничтожение, блокирование, изменение или копирование информации, — статья 272 УК РФ: штраф до 200 000 ₽ или до двух лет лишения свободы.

Статья 19 152-ФЗ обязывает оператора оценивать эффективность мер защиты, обнаруживать несанкционированный доступ и уметь восстанавливать данные. Об утечке нужно сообщить в Роскомнадзор за 24 часа, о результатах расследования — за 72 часа (статья 21).

В ЕС логика та же: статья 32 GDPR требует регулярно тестировать меры защиты, об утечке сообщают за 72 часа. Датированный отчёт аудита и проверенная копия — доказательство, что меры принимались.

Когда нужен пентест от лицензированной компании?

Когда на отчёт будет опираться кто-то другой: аудит в студии снижает риски, но не даёт документа, который обязан принять регулятор или крупный заказчик.

• Вы банк или некредитная финансовая организация: тесты на проникновение проводят по положениям Банка России 683-П, 719-П и 757-П; LiteraFort публикует такую услугу отдельно — от 135 000 руб.
• Договор, тендер или анкета безопасности крупного клиента требует отчёт компании с лицензиями ФСТЭК; Oreol Security, например, указывает лицензии ФСТЭК и ФСБ России.
• Вы принимаете карты на своих серверах и аудитор PCI DSS просит пентест, или вы идёте к сертификации ISO 27001.
• Вы храните биометрию: одна её утечка стоит компании 15–20 млн ₽ штрафа.

В остальных случаях: самопроверка, аудит с исправлениями, а пентест — когда очевидные дыры закрыты, чтобы не платить пентестерам за устаревшие плагины.