Когда мы принимаем на поддержку новый сайт, первым делом просим владельца перечислить все доступы к проекту. В большинстве случаев ответ звучит так: «Пароль от админки у меня где-то в почте, хостинг оформлял прошлый разработчик, а домен, кажется, на бухгалтера». Такая ситуация привычна, но опасна. Сайт — это имущество компании, и ключи от него должны лежать там, где их можно найти, а не только в памяти одного человека. В этой статье разберём, из чего состоит набор доступов, как его хранить и какие простые привычки защищают сайт лучше любого дорогого плагина.
Инвентаризация: что вообще нужно защищать
У типичного сайта не один пароль, а целая связка. Если потерять контроль хотя бы над одним звеном, можно лишиться всего проекта. Составьте список и проверьте, что по каждому пункту у вас есть актуальные данные:
- Регистратор домена. Самый важный доступ. Тот, кто управляет доменом, управляет сайтом и корпоративной почтой. Домен должен быть оформлен на компанию или её владельца, а не на подрядчика.
- Панель хостинга. Отсюда можно удалить сайт, скачать базу клиентов, изменить любые файлы.
- FTP, SFTP и SSH. Прямой доступ к файлам на сервере.
- База данных. Логин и пароль обычно хранятся в конфигурационном файле, но их стоит знать и вам.
- Панель администратора CMS. Учётные записи всех, кто редактирует контент.
- Почтовые ящики, к которым привязаны все перечисленные сервисы. Восстановление пароля почти везде идёт через почту — значит, она ключ ко всему остальному.
- Сопутствующие сервисы: панели вебмастера, системы аналитики, рекламные кабинеты, платёжные агрегаторы, CDN, сервисы рассылок.
Если по какому-то пункту вы не знаете, у кого доступ и на кого оформлен сервис, — это первое, что нужно исправить.
Какой пароль считается надёжным
Правила о «восьми символах с цифрой и заглавной буквой» давно устарели. Пароль вроде «Moskva123!» формально им соответствует, но подбирается за минуты, потому что построен по предсказуемой схеме. Надёжность определяется не набором символов, а непредсказуемостью и длиной.
- Используйте длинные пароли — от 16 символов для важных сервисов. Удобнее всего генерировать их менеджером паролей.
- Если пароль нужно запоминать, подойдёт фраза из нескольких случайных несвязанных слов. Она длинная, но легко запоминается.
- Не используйте название компании, домена, имена, даты и слова, связанные с вашим бизнесом.
- Никогда не повторяйте один пароль в разных сервисах. Утечка базы какого-нибудь форума не должна открывать доступ к вашему хостингу.
Проверьте одну простую вещь: совпадает ли пароль от админки сайта с паролем от вашей личной почты или соцсетей. Если да — смените его сегодня. Повторное использование паролей остаётся одной из самых частых причин взлома, с которыми к нам обращаются.
Где хранить пароли
Самые распространённые способы хранения одновременно самые уязвимые: файл «пароли.txt» на рабочем столе, таблица в облачном документе с открытым доступом по ссылке, переписка в мессенджере, стикер на мониторе. Всё это легко потерять, легко переслать не тому человеку и невозможно отследить.
Менеджер паролей
Оптимальное решение даже для небольшой компании — менеджер паролей с общими хранилищами. Он позволяет держать доступы в зашифрованном виде, делиться отдельными записями с конкретными сотрудниками и забирать доступ одним действием. Мастер-пароль от менеджера — единственное, что нужно действительно запомнить, и он должен быть очень надёжным.
Резервный экземпляр
Для критически важных доступов — домена, хостинга, главной почты — держите резервную копию в защищённом месте вне компьютера: например, в запечатанном конверте в сейфе. Это страховка на случай, если единственный человек, знающий пароли, внезапно окажется недоступен.
Принцип минимальных прав
Не каждому, кто работает с сайтом, нужны права администратора. Контент-менеджеру достаточно роли редактора, копирайтеру — автора, бухгалтеру, который проверяет заказы в интернет-магазине, — роли менеджера магазина. Чем меньше людей с полными правами, тем меньше вероятность, что взломанная учётная запись приведёт к катастрофе.
| Кто | Какая роль нужна | Чего давать не нужно |
|---|---|---|
| Контент-менеджер | Редактор в CMS | Установку плагинов, доступ к хостингу |
| SEO-специалист | Редактор или специальная роль, доступ к панелям вебмастера | Права администратора без необходимости |
| Маркетолог | Доступ к аналитике и рекламным кабинетам | Доступ к файлам и базе данных |
| Разработчик на поддержке | Администратор, SFTP, доступ к тестовой копии | Права владельца домена |
И ещё одно правило: у каждого человека — своя учётная запись. Общий логин «admin», которым пользуются пять сотрудников, не позволяет понять, кто внёс изменения, и не даёт отключить одного человека, не меняя пароль всем.
Двухфакторная аутентификация
Даже очень надёжный пароль может утечь: через вредоносную программу на компьютере, фишинговое письмо или взлом стороннего сервиса. Второй фактор — код из приложения-аутентификатора или аппаратный ключ — делает украденный пароль бесполезным. Включите его в первую очередь там, где это критично: у регистратора домена, в панели хостинга, в почте и в административной панели сайта. Для WordPress есть надёжные расширения, которые добавляют второй фактор за несколько минут.
Коды из СМС лучше, чем ничего, но приложение-аутентификатор надёжнее: его не перехватить через перевыпуск сим-карты. Обязательно сохраните резервные коды восстановления — без них потеря смартфона превратится в долгую переписку со службой поддержки.
Доступ по ключам вместо паролей
Для подключения к серверу по SSH и SFTP надёжнее использовать не пароль, а пару криптографических ключей. Приватный ключ остаётся на компьютере специалиста, на сервер кладётся только публичная часть. Подобрать такой ключ перебором практически невозможно, а при завершении работы с человеком достаточно удалить его публичный ключ с сервера — остальным ничего менять не придётся. Вход по паролю после настройки ключей лучше отключить совсем.
Когда менять пароли
Регулярная смена паролей «раз в месяц по расписанию» в итоге приводит к тому, что люди придумывают слабые и предсказуемые варианты. Гораздо важнее менять их по событиям:
- увольнение сотрудника или завершение работы с подрядчиком, у которых был доступ;
- подозрение на взлом, заражение компьютера или утечку;
- пароль был отправлен открытым текстом в почте или мессенджере;
- сервис сообщил об инциденте безопасности;
- вы обнаружили, что пароль где-то повторяется.
После расставания с сотрудником недостаточно сменить пароль от админки. Удалите его учётную запись в CMS, отзовите SSH-ключи, проверьте, не оставались ли у него доступы к хостингу, почте и рекламным кабинетам. Именно этот шаг чаще всего забывают.
Регулярный аудит
Раз в несколько месяцев полезно проводить короткую ревизию: открыть список пользователей сайта и удалить лишних, проверить, что контактная почта у регистратора и хостинга актуальна, убедиться, что второй фактор включён везде, где нужно. Эта процедура занимает полчаса, но закрывает большую часть рисков. Если у вас нет времени этим заниматься, такую ревизию мы проводим в рамках администрирования сайтов.
Вывод
Гигиена доступов — не про сложные технологии, а про порядок. Знайте, какие доступы есть у вашего сайта и на кого оформлены ключевые сервисы, храните пароли в менеджере, выдавайте каждому только нужные права, включите двухфакторную защиту и меняйте пароли сразу после ухода людей из проекта. Эти привычки не требуют бюджета, но защищают от самых частых сценариев потери сайта. А если вы приняли проект от другого разработчика и не уверены, что все доступы у вас, напишите нам через страницу контактов — поможем провести инвентаризацию и навести порядок.
