Для бизнес-сайта безопасность сайта и GDPR - это семь базовых вещей плюс короткий юридический слой: HTTPS, автоматические бэкапы, обновления, хостинг с WAF, защита форм от спама, доступ по минимуму прав и мониторинг - а сверху согласие на cookies, политика конфиденциальности и договор поручения с каждым сервисом, который касается ваших данных. Почти любой взлом, с которым вы столкнётесь, автоматический, а не нацеленный на вас лично. Поэтому защита стоит дёшево и в основном разово. Дорого стоит как раз её отсутствие.
Я делаю сайты на Next.js и разгребаю последствия взломов WordPress у клиентов, так что скажу честно - что реально защищает сайт малого бизнеса, сколько это стоит и где люди сливают деньги на видимость безопасности.
Реальная угроза: боты, а не хакеры
Никто не сидит в тёмной комнате и не целится именно в вашу сантехническую фирму. На деле происходит другое: бот сканирует миллионы сайтов в день и ищет одну вещь - известную дыру, через которую войдёт автоматически.
Четыре двери, которые он ищет, всегда одни и те же:
- Устаревшая CMS и плагины. WordPress крутит около 43% интернета, поэтому это самая крупная мишень на планете. За один год в его экосистеме нашли больше 11 000 уязвимостей, и свыше 90% из них - в плагинах и темах, а не в ядре. Каждый плагин - это чужой код с полными правами на ваш сайт. Два месяца без обновлений, и бот находит щель.
- Спам и боты в формах. Незащищённая форма обратной связи заваливает почту мусором, фишинговыми ссылками и заявками с автомата, которые иногда подсовывают вредоносный код.
- Слабый хостинг. Дешёвый шаред без файрвола, без изоляции и со старым PHP - это место, где зараза перескакивает с одного взломанного сайта на соседние на том же сервере.
- Отсутствие бэкапов. Вот пункт, который превращает мелкий инцидент в катастрофу. Сайт подменили или зашифровали, а чистой копии для отката нет? Строите с нуля.
Ничего экзотического тут нет. Это цифровой аналог незапертой двери на оживлённой улице. Боту всё равно, кто вы.
Чек-лист, который правда важен
Семь вещей закрывают подавляющую часть реального риска бизнес-сайта. Вот что делает каждая и сколько реально стоит на польском рынке.
| Мера | От чего защищает | Стоимость |
|---|---|---|
| HTTPS / SSL + HSTS | Перехват данных, надпись "Не защищено" | Бесплатно (Let's Encrypt) или в цене |
| Автобэкапы ежедневно | Полная потеря после взлома или кривого апдейта | 0-60 зł/мес, часто в цене |
| Обновления и патчи | Известные эксплойты в CMS, плагинах, зависимостях | 150-400 зł/мес обслуживания или ваше время |
| Управляемый хостинг + WAF | Автоатаки, мусорный трафик, брутфорс | 50-180 зł/мес (Cloudflare, managed) |
| Защита форм | Наплыв ботов, спам, инъекция кода | Бесплатно (honeypot, Turnstile) |
| Минимум прав + 2FA | Угнанный или общий логин админа | Бесплатно |
| Мониторинг доступности и файлов | Тихие взломы, простой, который иначе не заметишь | 0-90 зł/мес |
Пара замечаний с реальных проектов. HTTPS в 2026 не обсуждается - он бесплатный, а без него Chrome помечает сайт как небезопасный ещё до того, как кто-то прочитает хоть слово. Бэкапы считаются только если вы реально проверили восстановление. Непроверенный бэкап - это слух, а не защита. Минимум прав значит, что у каждого своя учётка ровно с теми правами, что нужны, 2FA включена, а аккаунт фрилансера, который ушёл год назад, удалён. Большинство историй "мне взломали сайт" на деле звучат как "у нас был один пароль админа на всех".
Весь этот список - примерно 250-600 зł в месяц вместе, и половина из этого разовая настройка. Запомните цифру, она пригодится дальше.
GDPR по-человечески
Ваш бизнес-сайт собирает персональные данные, хотите вы того или нет: имя и e-mail в форме, IP в аналитике, номер телефона в заявке на звонок. По GDPR (в Польше это RODO) это запускает короткий список обязанностей. Ничего страшного, когда видишь это спокойно.
Согласие на cookies. Если вы грузите что-то помимо строго необходимых файлов - Google Analytics, пиксель Meta, рекламу - нужно настоящее согласие до того, как эти скрипты запустятся. Не полоска "мы используем cookies, ОК", которая ничего не блокирует. Нормальный баннер держит необязательные теги, пока посетитель не согласится. Если гоняете Google Analytics или Google Ads на трафик из ЕС, нужен ещё Consent Mode v2, которого Google требует с 2024 года - без него ваши теги всё равно перестают передавать полезные данные.
Политика конфиденциальности. Обычная страница о том, что вы собираете, зачем, кому передаёте (хостинг, почта, аналитика, CRM), сколько храните и как человек может запросить доступ или удаление. Это самый пропускаемый пункт на сайтах малого бизнеса в Польше и при этом самый дешёвый в исправлении.
Договоры поручения обработки. Каждый внешний сервис, который хранит данные ваших посетителей от вашего имени - хостинг, рассыльщик, CRM, Google - это "процессор", и с каждым положено иметь договор поручения (umowa powierzenia). Крупные (Google, большинство польских хостингов) дают готовый шаблон, который вы просто принимаете. Это бумажная работа, а не инженерия.
Право быть забытым. Человек может попросить удалить его данные, и вы должны уметь это реально сделать - найти его запись в CRM или почте и стереть. Если вы не знаете, где лежат данные лида, вы обязанность не выполните.
Что на самом деле собирает форма и аналитика. Будьте честны с собой: форма ловит имя, e-mail, телефон, сообщение, плюс метку времени и часто IP. Аналитика ловит устройство, локацию и поведение. Пропишите ровно это в политике - и большая часть работы сделана.
Почему у современного стека меньше поверхность атаки
Вот часть, которая в долгую экономит больше всего нервов: архитектура. CMS, обвешанная плагинами, имеет большую поверхность атаки по своей сути. Двадцать плагинов - это двадцать отдельных кусков чужого кода, каждый потенциальная дыра, каждый требует обновлений вечно, плюс публичная страница входа, которую боты долбят весь день.
Современный стек это переворачивает. Когда я строю на Next.js и отдаю страницы статикой с CDN везде, где можно, атаковать просто нечего:
- Нет плагинов - нет уязвимостей плагинов, самая крупная категория взломов исчезает.
- У статики на CDN нет ничего исполняемого, во что можно влезть. Нет запроса к базе для инъекции, нет PHP для эксплойта на самой странице.
- Нет публичной админки по угадываемому адресу, которую боты брутфорсят.
- Обновление - это квартальный апдейт зависимостей вместо еженедельного латания плагинов.
Это не магия и не броня - формы и любая динамика всё равно требуют внимания. Но вы переходите от обороны особняка с двадцатью открытыми окнами к обороне бункера с одной дверью. На сайте юридической фирмы, который я делал, где соответствие и доверие - весь смысл, эта меньшая поверхность была плюсом, а не бонусом - видно в кейсе Legalwin. Если хотите сайт, собранный так с самого начала, это как раз то, что я делаю с сайтами.
Во сколько реально обходится инцидент
Причина всё это сделать простая и арифметическая. Профилактика дёшева и предсказуема. Инцидент - нет.
| Статья | Реальная стоимость |
|---|---|
| Полная настройка безопасности (профилактика) | 250-600 зł/мес, в основном разово |
| Чистка взломанного сайта на WordPress | 1 000-5 000 зł |
| Пересборка с нуля, без бэкапа | 5 000-20 000 зł |
| Простой, пока сайт лежит | Каждый лид и продажа потеряны, на дни |
| Потеря доверия после утечки | Трудно оценить, ещё труднее вернуть |
| Штраф по GDPR (утечка) | До 20 млн € или 4% оборота |
Цифра штрафа звучит теоретически, пока не посмотришь конкретно на Польшу. Магазин Morele.net получил от регулятора (UODO) штраф около 2,8 млн зł после утечки, которая раскрыла данные клиентов. Малый бизнес так сильно не бьют, но "мелкие" штрафы всё равно уходят в десятки тысяч злотых, и это поверх чистки и потерянного доверия.
Поставьте две колонки рядом - и решение принимается само. Полная защитная настройка стоит за год меньше, чем одна серьёзная чистка, и снимает хвостовой риск целиком. Сделать правильно - это не дорогой вариант. Это дешёвый.
FAQ
Какие меры безопасности сайта самые важные для малого бизнеса? HTTPS/SSL, автоматические и проверенные бэкапы, актуальные CMS и плагины, хостинг с WAF, защита форм от спама, минимум прав с 2FA и базовый мониторинг. Вместе они закрывают подавляющую часть реального риска, потому что большинство атак - это автоматические боты в поисках известных дыр, а не нацеленные хакеры.
Должен ли мой бизнес-сайт соответствовать GDPR? Да, если он собирает любые персональные данные - а форма обратной связи, заявка на звонок и аналитика их собирают. На практике это баннер согласия на необязательные cookies, политика конфиденциальности с описанием что и зачем вы собираете, договоры поручения с поставщиками услуг и возможность удалить данные человека по запросу.
Форма обратной связи - это персональные данные по GDPR? Да. Форма обычно сохраняет имя, e-mail, телефон и сообщение, плюс метку времени и часто IP-адрес - и всё это персональные данные. Их нужно указать в политике конфиденциальности, собрать согласие там, где оно требуется, и уметь удалить, если кто-то попросит.
Почему WordPress считают менее безопасным, чем современный стек? Сам по себе он не дырявый - ядро крепкое - но экосистема плагинов это огромная поверхность атаки. Свыше 90% уязвимостей WordPress сидят в плагинах и темах, и каждый - чужой код с полным доступом к сайту. У статического сайта на Next.js нет ни плагинов, ни публичной админки, поэтому вся эта категория автоматических взломов просто не работает.
Сколько стоит убрать последствия взлома сайта? На польском рынке чистка заражённого сайта на WordPress обычно стоит 1 000-5 000 зł, а полная пересборка без бэкапа может дойти до 5 000-20 000 зł - и это до того, как вы посчитаете продажи, потерянные за время простоя. Нормальная профилактика стоит за год долю от этого, поэтому сделать её заранее - более дешёвый путь.
Что такое Consent Mode и нужен ли он мне? Consent Mode - это система Google, которая подстраивает работу его тегов (Analytics, Ads) под выбор посетителя по cookies. Google требует Consent Mode v2 для трафика из ЕС с 2024 года. Если вы гоняете Google Analytics или Ads и у вас есть посетители из Европы, он нужен - и для соответствия, и чтобы дальше собирать полезные данные измерений.
Хотите сайт, безопасный и готовый под GDPR с первого дня, а не залатанный после испуга? Посмотрите, что входит в мои сайты, или просто напишите мне - расскажите, что есть сейчас, а я дам прямую оценку, что чинить и сколько это стоит.
