Безопасность

Как защитить сайт от взлома Базовые правила безопасности сайта на WordPress и других CMS на хостинге ZevsHost. DDoS-защита на ZevsHost: как это работает Как работает DDoS-защита L3/L4/L7 на серверах ZevsHost и что делать при атаке. Безопасные пароли и менеджеры паролей Правила создания надёжных паролей для хостинга и рекомендации по менеджерам паролей. Типы SSL-сертификатов: DV, OV, EV — чем отличаются Чем отличаются SSL-сертификаты DV, OV и EV: уровень проверки, стоимость, отображение в браузере, для каких сайтов подходит каждый тип. Таблица сравнения. Mixed Content HTTPS: как найти и исправить ошибки Что такое mixed content на HTTPS-сайте, почему браузер блокирует ресурсы и как исправить ошибки смешанного контента в WordPress, коде и через .htaccess. Защита сайта от спама и ботов Методы защиты форм и комментариев на сайте от спама: reCAPTCHA, honeypot, антиспам-плагины. ModSecurity WAF: защита веб-приложений на Apache/Nginx Что такое ModSecurity WAF, как установить и настроить на Apache и Nginx, включить OWASP CRS правила, управлять ложными срабатываниями и мониторить атаки. Fail2ban: защита SSH и Nginx от подбора паролей Установка и настройка Fail2ban на Ubuntu/Debian. Защита SSH, веб-сервера и панели управления от автоматических атак подбором паролей. Content Security Policy (CSP): защита от XSS атак Как настроить Content Security Policy для защиты от XSS: директивы default-src, script-src, style-src, report-uri. Примеры CSP для WordPress и SPA-приложений. SSH-ключи: безопасный вход на VPS без пароля Генерация SSH-ключей, добавление публичного ключа на сервер, отключение входа по паролю. Настройка для Windows PuTTY и Linux/Mac. Cloudflare: бесплатный CDN и защита от DDoS Подключение Cloudflare к домену: смена NS-серверов, настройка кэша, защита от DDoS, SSL и ускорение сайта с бесплатным тарифом. Двухфакторная аутентификация в cPanel: настройка 2FA Как включить двухфакторную аутентификацию (2FA) в cPanel через Google Authenticator или Authy: QR-код, резервные коды, восстановление доступа. Безопасность MySQL на VPS: защита от взлома Как защитить MySQL сервер на VPS: запрет удалённого root, mysql_secure_installation, отдельные пользователи для БД, шифрование соединений и мониторинг запросов. UFW Firewall на VPS: настройка брандмауэра Ubuntu Как настроить UFW (Uncomplicated Firewall) на Ubuntu VPS: базовые правила, открытие портов SSH/HTTP/HTTPS, блокировка IP, защита от DDoS и логирование событий. HSTS: принудительный HTTPS для защиты сайта Что такое HSTS, как добавить заголовок через .htaccess или Nginx, включить preload, настроить max-age и избежать ошибок при откате на HTTP. WireGuard VPN на VPS: быстрая установка и настройка Как установить WireGuard VPN на Ubuntu VPS за 10 минут: генерация ключей, настройка сервера и клиента, добавление пиров, QR-код для телефона и автозапуск. SSH Hardening: безопасная настройка сервера от взлома Усиление безопасности SSH на Linux: изменить порт, отключить root, настроить AllowUsers, MaxAuthTries, ключи и двухфакторную аутентификацию. Hardening Nginx: безопасная конфигурация веб-сервера Безопасная настройка Nginx: скрыть версию, заголовки безопасности, ограничить HTTP-методы, rate limiting, защита от clickjacking и MIME-sniffing. Защита WordPress на сервере: Nginx, права, xmlrpc Полная защита WordPress: права файлов, xmlrpc.php, Wordfence, wp-config.php, двухфакторная аутентификация и мониторинг изменений файлов. Права на файлы Linux: chmod, chown, SUID и ACL Права на файлы Linux: числовая и символьная нотация chmod, смена владельца chown, специальные биты SUID/SGID/Sticky, расширенные ACL. Безопасная конфигурация PHP: настройки php.ini для продакшн Безопасная настройка PHP для продакшн: display_errors, expose_php, open_basedir, disable_functions, защита сессий и ограничения ресурсов. Защита от брутфорс-атак: fail2ban, CAPTCHA и rate limiting Комплексная защита от брутфорс-атак: настройка fail2ban для SSH и веба, CAPTCHA на формах, rate limiting в Nginx, геоблокировка и IP-whitelist. CrowdSec: современная IPS-система защиты для VPS CrowdSec — открытая IPS нового поколения: установка на Linux, настройка коллекций, интеграция с Nginx и блокировка угроз через shared threat intelligence. Обнаружение руткитов на Linux: rkhunter и chkrootkit Как найти руткиты на Linux-сервере: установка и настройка rkhunter, chkrootkit, автоматическое сканирование по расписанию и анализ отчётов. Взломан сайт: диагностика, очистка и восстановление Что делать если взломали сайт: признаки взлома, поиск вредоносного кода, очистка от malware, восстановление из бэкапа и предотвращение повторного взлома. Чеклист безопасности нового Linux-сервера: 30 шагов Полный чеклист безопасности нового VPS/VDS: обновления, SSH, firewall, fail2ban, пользователи, мониторинг — 30 шагов от голого сервера до защищённого хоста. Аудит безопасности Linux с auditd: мониторинг событий Настройка auditd для мониторинга безопасности Linux: отслеживание входов, изменений файлов, привилегированных команд и анализ логов через ausearch. Безопасная настройка MariaDB и MySQL на VPS Hardening MariaDB/MySQL: mysql_secure_installation, создание пользователей с минимальными правами, шифрование соединений, отключение remote root, бэкапы. Двухфакторная аутентификация для SSH и веб-панелей Настройка двухфакторной аутентификации (2FA) на Linux-сервере: TOTP через Google Authenticator для SSH, ISPmanager и WordPress с инструкцией по восстановлению. Защита от DDoS-атак: Nginx, Cloudflare и системные меры Комплексная защита от DDoS: лимиты соединений в Nginx, rate limiting, настройка Cloudflare DDoS Protection, sysctl оптимизация и реагирование на атаку. Let's Encrypt Wildcard: автопролонгация сертификата Как получить Wildcard SSL от Let's Encrypt через DNS-верификацию, настроить автопролонгацию Certbot и проверить работу через acme.sh и Cloudflare API. iptables: настройка файрвола Linux с нуля iptables: основные цепочки INPUT/OUTPUT/FORWARD, разрешение SSH/HTTP/HTTPS, блокировка портов, защита от сканирования, сохранение правил. Мандатный контроль доступа: настройка SELinux и AppArmor Мандатный контроль доступа в Linux: как настроить SELinux на RHEL и AlmaLinux, AppArmor на Ubuntu, проверить режим работы и не сломать сайт при переносе. GPG: шифрование файлов и резервных копий на сервере GPG-шифрование файлов и резервных копий защищает данные сервера, если украден диск, утёк архив из S3-хранилища или перехвачен трафик при передаче бэкапа. LUKS: шифрование диска сервера и загрузка с ключом Шифрование диска LUKS защищает данные сервера при физическом изъятии носителя: luksFormat, crypttab, keyfile, Clevis+Tang и backup заголовка на практике. Wazuh SIEM: мониторинг безопасности сервера и контроль FIM Wazuh SIEM для сервера объединяет анализ логов, контроль целостности файлов (FIM) и автоблокировку атак через active response. osquery: инвентаризация сервера и следы взлома osquery превращает Linux-сервер в SQL-базу: как установить утилиту, опросить процессы и порты и найти следы взлома после инцидента. Хранение секретов на сервере: Vault и переменные окружения Хранение секретов на сервере: как настроить HashiCorp Vault, выдавать временные пароли для MySQL и защитить переменные окружения вместо файла .env. Аудит зависимостей: npm audit и composer audit Аудит зависимостей на сервере: как запускать npm audit и composer audit, читать отчёт об уязвимостях и обновлять пакеты без поломки сайта. SSH-сертификаты: вход через центр сертификации SSH-сертификаты заменяют раздачу публичных ключей: пользователи получают короткоживущие сертификаты от центра сертификации вместо ключей. Port knocking и SPA: скрытый доступ к SSH Port knocking и Single Packet Authorization скрывают SSH-порт от сканеров: доступ открывается только после секретной последовательности пакетов. План реагирования на инцидент: первые 60 минут План реагирования на инцидент описывает первые 60 минут атаки: изоляцию сервера, сбор улик, оценку ущерба и уведомление ответственных лиц. Как работает DDoS-атака и почему сайт падает Разбираем механику DDoS-атаки: чем она отличается от взлома, какие ресурсы перегружают и как отличить атаку от наплыва посетителей. Как проверить SSL-сертификат сайта: способы и команды Как проверить SSL-сертификат в браузере, командой openssl и сервисом: срок действия, цепочка сертификатов, продление и частые ошибки. SSL pinning: что это такое и как работает в приложениях SSL pinning простыми словами: зачем нужен, что именно прикрепляют, главная опасность при продлении сертификата и когда он уместен. SSH работает по TCP или UDP и почему именно так Почему SSH использует TCP, а не UDP, как проверить порт 22 на сервере и нужно ли открывать для него UDP в файрволе. FTPS и SFTP: это разные протоколы передачи файлов Чем FTPS отличается от SFTP: протоколы, порты и правила выбора между ними для передачи файлов на сервер. Зачем домену нужен SSL-сертификат и как его подключить Зачем домену SSL-сертификат, что он защищает технически и как правильно подключить его к сайту. Vaultwarden на VDS: свой сервер менеджера паролей Как развернуть Vaultwarden в Docker на VDS: TLS через обратный прокси, токен администратора, ограничение регистрации и резервные копии базы. GDPR для сайта на хостинге: что требуется на практике Роли контролёра и процессора, договор обработки данных, срок уведомления об утечке и права пользователей по GDPR — обзор без юридических советов. Mailcow: свой почтовый сервер в контейнерах Docker Из чего состоит стек Mailcow, сколько памяти ему нужно, как запустить его в Docker и какие DNS-записи остаются обязательны для доходимости. PHP2Shell (CVE-2026-109618/109619): проверить и закрыть Две критические уязвимости PHP с оценкой CVSS 9.2 позволяют выполнить код без входа в систему. Как за минуту проверить свой сервер и чем закрыть. PHP2Shell: что делать, если обновиться прямо сейчас нельзя Временные меры против CVE-2026-109618 и CVE-2026-109619: настройки php.ini, ограничения nginx, правила WAF. Что они дают и чего не дают. Аудит версий PHP и nginx на парке серверов: один скрипт Как за один проход собрать версии PHP и nginx со всех серверов, найти уязвимые и не перепутать бэкпорт с настоящей уязвимостью. Обновились после PHP2Shell: как проверить, что не взломали Уязвимость эксплуатировали до выхода заплаты. Что искать в журналах и файлах, какие ключи менять и в каком порядке действовать. cPanel и WHM: обход входа CVE-2026-41940 — что делать Критическая уязвимость cPanel и WHM с оценкой 9.8 позволяет войти без пароля. Эксплуатируется с февраля 2026. Как проверить свою сборку и обновиться. Nextcloud и Collabora CVE-2026-110447: обновить или удалить Уязвимость встроенного сервера CODE позволяет выполнить команды без входа. Отключение приложения не помогает. Как обновиться и найти оставленные веб-шеллы. ClamAV и Maldet: поиск вредоносного кода на Linux Как искать веб-шеллы и вирусы на Linux-сервере: ClamAV, clamscan, freshclam и Linux Malware Detect. Карантин, отчёты и пределы сигнатурного поиска. Docker обходит UFW: как закрыть порт контейнера Почему порт контейнера открыт из интернета при включённом UFW и как это исправить: привязка к 127.0.0.1, цепочка DOCKER-USER, изолированные сети Docker. Trivy: проверка Docker-образов на уязвимости Как проверить Docker-образ на известные уязвимости с помощью Trivy: установка, severity, игнор-лист, встраивание в сборку и пересборка базового образа. Проверка сайта на уязвимости: nuclei, nikto, wpscan Как самому проверить свой сайт на уязвимости: nuclei, nikto и wpscan. Что показывают сканеры, как читать отчёт и чем скан отличается от пентеста. Ошибки SSL в браузере: причины и как исправить Браузер пишет, что сертификат не является доверенным или истёк. Пять причин ошибки SSL, как опознать каждую через openssl и как её исправить. Basic Auth: пароль на раздел сайта в Nginx и Apache Как закрыть паролем раздел сайта или страницу входа: htpasswd, auth_basic в Nginx, .htaccess в Apache. Плюсы, минусы и защита от подбора пароля. Хранилище сертификатов в Linux: свой корневой CA Где лежит хранилище доверенных сертификатов в Ubuntu и RHEL, как добавить свой корневой сертификат и почему Java, Python и Node его не видят. Автоматические обновления безопасности Linux Как включить автоматические обновления безопасности: unattended-upgrades в Ubuntu и Debian, dnf-automatic в RHEL, перезапуск служб и журнал. Пароли пользователей Linux: passwd и chage Как сменить пароль в Linux и Ubuntu: passwd, chage, файлы shadow, пароль root и sudo, требования к сложности через pam_pwquality. Открытые порты сервера: как проверить и закрыть Как узнать, какие порты сервера доступны из интернета: ss -tulpn, внешняя проверка, типичные находки и способы закрыть лишнее. Сертификаты TLS: срок жизни сокращают до 47 дней С 15 марта 2026 года максимальный срок сертификата — 200 дней, с 2027 года 100, с 2029 года 47. Что это меняет на сервере и как подготовиться. Постквантовый TLS и SSH: что включить на сервере X25519MLKEM768 в TLS и mlkem768x25519-sha256 в SSH: какие версии OpenSSL, nginx и OpenSSH нужны, как включить гибридный обмен ключами и проверить результат. SSH-ключ на токене FIDO2: ed25519-sk и ecdsa-sk Как создать SSH-ключ на аппаратном токене FIDO2 через ssh-keygen, чем отличаются хранимые ключи, как настроить касание и PIN на сервере и не потерять доступ.