Проверьте, на какой версии PHP работает сайт, у кого остались права администратора и можно ли восстановить сайт из последней копии. Разбираем пять проверок безопасности для владельца сайта на 1С-Битрикс.
Вышло сообщение об уязвимости в PHP. Как понять, касается ли она вашего сайта? Начните с версии PHP, которая обслуживает сайт, и проверьте, доступно ли исправление для установленного пакета. Заодно стоит посмотреть, когда обновлялись Битрикс и модули, кто может войти в админку и где хранится последняя резервная копия.
Чек-лист безопасности сайта на Битриксе
- Обновления. Проверьте CMS, сторонние модули и PHP, на котором работает сайт.
- Доступы. Уберите лишние учётные записи и включите двухфакторную аутентификацию.
- Настройки защиты. Откройте панель безопасности Битрикса и разберите её рекомендации.
- Резервные копии. Храните копию отдельно от рабочего сайта и проверьте восстановление.
- Уведомления. Назначьте ответственного за сбои сайта и ошибки резервного копирования.
1. Обновите Битрикс, PHP и сторонние модули
В админке откройте Marketplace → Обновление платформы. Отдельно проверьте обновления установленных решений и модулей. Например, у готового решения Аспро, модуля доставки и платёжной интеграции могут быть свои обновления.
Если появилась новость об уязвимости PHP, сначала выясните, какая версия обслуживает
именно ваш сайт. На одном сервере могут работать несколько версий PHP.
Команда php -v показывает версию для командной строки. Версию сайта
проверьте в панели хостинга или уточните у администратора сервера.
Затем сверьте установленный пакет с бюллетенем вашего поставщика PHP. Дистрибутив или хостер может включить исправление в собственную сборку, поэтому ориентируйтесь на статус конкретного пакета. Перед переходом на другую ветку PHP проверьте совместимость Битрикса, шаблона и сторонних модулей.
Что проверить после обновления
- Открываются ли главная страница, каталог и карточки товаров.
- Доходят ли заявки из форм до почты или CRM.
- Работают ли корзина, расчёт доставки и тестовое оформление заказа.
- Получает ли магазин подтверждение тестовой оплаты.
- Обновляются ли цены и остатки, если сайт обменивается данными с 1С.
Перед обновлением подготовьте резервную копию файлов и базы данных и определите, как вернуть сайт в рабочее состояние при сбое. Если есть тестовая копия сайта, сначала проверьте обновление на ней.
2. Проверьте, у кого остались доступы
Начните с админки Битрикса, панели хостинга, сервера, регистратора домена, почты для восстановления паролей и облака с резервными копиями. Отключите учётные записи бывших сотрудников и подрядчиков. Если общим паролем пользовались несколько человек, смените его и выдайте отдельные учётные записи.
Включите двухфакторную аутентификацию там, где она доступна. Права в Битриксе выдавайте под конкретную работу. Например, редактору, который обновляет новости и карточки товаров, обычно хватает доступа к соответствующим разделам.
3. Проверьте настройки проактивной защиты
В административной части откройте Настройки → Проактивная защита → Панель безопасности. Здесь можно посмотреть, какие механизмы защиты включены и какие настройки Битрикс рекомендует изменить.
После изменения настроек проактивного фильтра проверьте штатные действия на сайте. Для интернет-магазина особенно важны отправка форм, оформление заказа, уведомления от платёжного сервиса и обмен с 1С.
4. Храните резервные копии отдельно от сайта
Если сайт и все копии находятся в одном аккаунте хостинга, сбой или потеря доступа к этому аккаунту может затронуть и рабочий сайт, и архивы. Храните хотя бы одну копию отдельно. Проверьте, может ли учётная запись, которая загружает архивы, удалять старые копии. Если хранилище позволяет защищать копии от удаления на заданный срок, настройте это для резервных архивов.
Проведите пробное восстановление на отдельной площадке. Убедитесь, что из копии можно поднять и файлы, и базу данных. Частоту копирования выбирайте с учётом того, сколько данных допустимо потерять. Например, если магазин копируется раз в неделю, после восстановления в базе может не оказаться заказов, сделанных после последнего бэкапа.
5. Настройте уведомления и договоритесь, кто реагирует
Уведомления о недоступности сайта и сбоях резервного копирования должны приходить человеку, который может проверить проблему. После переезда или смены настроек сервера убедитесь, что новые архивы продолжают появляться по расписанию.
Если на сайте обнаружились чужие страницы, неизвестные администраторы или перенаправления, ограничьте доступ к затронутой части сайта и сохраните журналы и копию текущего состояния для разбора. Перед возвратом сайта в работу нужно закрыть путь, которым воспользовались при взломе, и сменить скомпрометированные пароли и ключи. Для восстановления выбирайте копию, созданную до инцидента.