Безопасность сайта на Битрикс: что проверять регулярно для стабильной работы

Сайт открывается, страницы загружаются и заявки приходят — кажется, что всё в порядке. Но открытый сайт означает лишь то, что сервер отвечает на запросы: включена ли защита, обновлены ли модули и версии ПО, что происходит с базой данных — по внешнему виду не видно. Разберём, что стоит проверять на проектах на 1С-Битрикс и Битрикс24 и почему бизнес узнаёт о таких проблемах последним, когда они уже сказались на работе сайта.

Почему о проблемах с сайтом бизнес узнает в последнюю очередь

• Сигнал приходит снаружи. О том, что что-то сломалось, обычно сообщают пользователи или проседающая аналитика: форма не отправляется, заявок нет. К этому моменту проблема существует уже какое-то время.
• Ручная проверка не масштабируется. Пройти по настройкам, версиям и модулям одного сайта реально. Делать это регулярно по десяткам сайтов — уже часы работы в неделю, и на практике такой аудит проводят редко.
• Устаревшие версии. Битрикс и модули могут месяцами оставаться без обновлений. Известные уязвимости при этом остаются открытыми, но внешне сайт работает как обычно, и повод обновиться просто не возникает.

Что именно стоит проверять и на что обращать внимание

1. Настройки безопасности

В Битриксе есть встроенная защита, эти настройки задаются в административной части, и после переноса сайта, обновления или доработок часть из них может оказаться отключённой.

Проверять стоит регулярно:

Проактивный фильтр (WAF). Встроенный веб-файрвол, который отсекает типовые атаки. Если он выключен, сайт открыт даже для простых сценариев взлома.

Двухфакторная авторизация (OTP) для администраторов. Пароль администратора может быть скомпрометирован. Второй фактор не даёт войти в административную часть даже тому, кто узнал пароль.

Ограничение раздела /admin по IP. Доступ к административной части с любого адреса в интернете — избыточный риск. Ограничение по списку доверенных IP его снимает.

Антивирус и режим ревизии. Фиксируют подозрительные изменения в файлах сайта — то есть следы уже произошедшего заражения.

Режим отладки базы данных. Полезен при разработке и опасен на боевом сайте: раскрывает структуру запросов.

2. Актуальность версий ПО

Отслеживать стоит три параметра:

• версию самого Битрикса;
• версию PHP;
• версию MySQL или MariaDB.

У каждого должен быть понятный статус: актуальная версия, устаревшая или небезопасная.

3. Модули и их уязвимости

Стандартные модули Битрикса обновляет вендор. Сторонние (те, что устанавливались под конкретные задачи) — обновляет тот, кто их разработал.

Именно через модули чаще всего и происходит взлом. Один модуль, установленный несколько лет назад и с тех пор не обновлявшийся, с известной уязвимостью — и дальше по цепочке: спам-ссылки в коде страниц, скрытые редиректы на посторонние ресурсы, падение позиций в поиске. Поисковые системы реагируют на это за считаные дни, а владелец сайта затем неделями выясняет, почему просела выдача, хотя контент и ссылки на месте.

Поэтому по модулям важно видеть две вещи: какие установлены (включая сторонние, о которых со временем забывают) и есть ли среди них те, для которых известна уязвимость или доступно обновление.

4. Состояние базы данных

В базе данных хранится всё содержимое сайта: товары, заказы, заявки, контент. Здесь важны две вещи:

• Версия СУБД. Как и у остального ПО, у устаревшей версии базы данных есть известные уязвимости — это вопрос безопасности.
• Размер базы и нагрузка на неё. База постепенно растёт, и это нормально. А вот резкий скачок объёма или нагрузки — сигнал, что что-то пошло не так: например, ошибка в коде пишет в базу лишние данные. Если это не заметить вовремя, сайт начинает тормозить, а в худшем случае перестаёт открываться.

Постоянно следить за этим не нужно, но видеть динамику полезно — чтобы поймать проблему до того, как она скажется на скорости и доступности сайта.

Как узнавать о проблемах вовремя

Подробнее про Битрикс Мониторинг.

Первый сайт можно подключить бесплатно и посмотреть, как сервис работает на практике.