В 2026 году сайт без SSL и базовой защиты — это не просто технический недочёт. По данным исследований, 85% пользователей немедленно покидают сайт с предупреждением браузера «Не защищено». Яндекс понижает такие сайты в выдаче. Google не передаёт данные о переходах через HTTPS на незащищённый HTTP-сайт — вы теряете статистику трафика.
Но это решаемо. В 2026 году и базовой защиты — это не просто риск. Это гарантированные потери: Яндекс и Google понижают незащищённые сайты в выдаче, браузеры показывают предупреждение «Не безопасно», а клиенты уходят не оставив заявку. При этом базовая защита стоит ноль рублей — нужно только знать, что настроить.
Что такое HTTPS и почему без него нельзя
HTTPS — это защищённая версия HTTP. Буква «S» означает, что данные между браузером пользователя и вашим сервером передаются в зашифрованном виде. SSL-сертификат — это цифровой документ, который подтверждает: ваш сайт действительно принадлежит вам, а не мошеннику.
Что происходит без HTTPS:
- Chrome и Firefox показывают красный замок с надписью «Не защищено» в адресной строке
- Яндекс.Браузер выводит предупреждение при переходе на сайт
- Данные форм (email, телефон, пароли) передаются в открытом виде — их можно перехватить
- Яндекс и Google используют HTTPS как фактор ранжирования: без него сайт проигрывает конкурентам в выдаче
По данным исследований, 85% пользователей покидают сайт при виде предупреждения браузера о небезопасном соединении. По статистике, конверсия сайта без HTTPS на 15–20% ниже, чем у конкурентов с SSL, даже при одинаковом контенте. Пользователи видят замок и подсознательно доверяют сайту больше.
Как создать HTTPS-сайт: три способа получить SSL
Создание безопасного сайта начинается с SSL-сертификата. При разработке сайта в АйТи-Стандарт SSL и базовая защита настраиваются на этапе запуска автоматически — без доплат. В 2026 году это быстрее и дешевле, чем кажется.
Let’s Encrypt — бесплатно и автоматически
Let’s Encrypt — некоммерческий центр сертификации, выдающий SSL бесплатно. Поддерживается большинством хостингов: Reg.ru, TimeWeb, Beget, Selectel. Устанавливается в один клик в панели управления хостингом. Сертификат действует 90 дней и продлевается автоматически. Для 95% бизнес-сайтов этого достаточно.
Платный DV-сертификат
Domain Validation (DV) — базовый платный сертификат от Comodo, DigiCert, GlobalSign. Стоит 1 500–5 000 ₽/год. Даёт то же шифрование, что и Let’s Encrypt, но с официальным гарантийным сертификатом центра. Разницы для пользователя нет — замок в браузере одинаковый.
OV и EV сертификаты — для банков и госорганов
Organization Validation (OV) и Extended Validation (EV) проверяют не только домен, но и юридическое лицо. Стоят 10 000–50 000 ₽/год. Нужны интернет-магазинам с большим оборотом, банкам, медицинским порталам. Для корпоративного B2B-сайта — избыточны.
Защита сайта от взлома: что угрожает в 2026 году
SSL защищает передачу данных, но не защищает сам сайт. Основные угрозы для WordPress-сайтов в 2026 году:
Брутфорс паролей
Боты автоматически перебирают пароли к wp-admin. Если пароль «admin123» или «company2024» — взлом займёт минуты. Защита: сложный пароль (20+ символов), двухфакторная аутентификация, ограничение попыток входа (плагин Limit Login Attempts).
Устаревшие плагины и темы
80% взломов WordPress происходит через уязвимости в необновлённых плагинах. Каждое обновление — это не только новые функции, но и закрытые дыры безопасности. Плагин, который не обновлялся 6+ месяцев — потенциальный вход для хакера. Регулярное обслуживание сайта включает мониторинг обновлений и их своевременную установку.
SQL-инъекции и XSS
Атаки через формы на сайте: злоумышленник вводит специальный код в поле формы, чтобы получить доступ к базе данных или внедрить вредоносный скрипт. Защита: использование подготовленных запросов в коде, экранирование пользовательских данных, WAF (Web Application Firewall).
DDoS-атаки
Перегрузка сервера тысячами одновременных запросов. Сайт «падает» и недоступен. Защита: Cloudflare или аналогичный CDN с DDoS-фильтрацией. Бесплатный тариф Cloudflare справляется с большинством атак на малый и средний бизнес.
Базовый чеклист безопасности WordPress-сайта
Следующие меры защищают 95% сайтов малого и среднего бизнеса без дополнительных затрат:
- ✓ SSL-сертификат установлен, все страницы отдают HTTPS (редирект с HTTP настроен)
- ✓ Пароль администратора: 20+ символов, цифры + буквы + спецсимволы
- ✓ Логин администратора: НЕ «admin» и НЕ имя домена
- ✓ WordPress, плагины и тема обновлены до актуальных версий
- ✓ Неиспользуемые плагины и темы удалены
- ✓ Установлен плагин безопасности (Wordfence или iThemes Security)
- ✓ Ограничены попытки входа в wp-admin (плагин Limit Login Attempts Reloaded)
- ✓ Настроен автоматический бэкап на отдельное хранилище (не на тот же сервер)
- ✓ Страница wp-admin закрыта по IP или защищена двухфакторной аутентификацией (плагин WP 2FA)
- ✓ Настроен мониторинг доступности и алерты при падении (UptimeRobot — бесплатно для 50 сайтов)
Как быстро проверить безопасность вашего сайта
Бесплатные инструменты для самостоятельной проверки:
- SSL Labs (ssllabs.com/ssltest) — полный анализ SSL-конфигурации. Хорошая оценка — A или A+.
- Google Safe Browsing — проверка в чёрных списках Google. Адрес: transparencyreport.google.com/safe-browsing/search
- Яндекс.Вебмастер — раздел «Безопасность» покажет, нашёл ли Яндекс вредоносный код.
- WPScan — сканер уязвимостей WordPress. Можно запустить онлайн или через CLI.
Если сайт уже взломан (появился спам, редиректы на подозрительные сайты, предупреждение в поиске) — нужна срочная чистка. Восстановление взломанного сайта стоит 15 000–50 000 рублей и занимает 2–5 рабочих дней. За это время бизнес не получает заявки. Профилактика — в 10 раз дешевле. Один месяц технической поддержки стоит меньше, чем один час работы по восстановлению после взлома.
Частые ошибки при настройке безопасности
Бэкап на тот же сервер. Если сервер взломали или диск сломался — вы потеряли и сайт, и бэкап. Резервные копии должны храниться в отдельном облаке: Яндекс.Диск, Google Drive, S3.
Один плагин безопасности вместо системы. Wordfence — хороший инструмент, но он не заменяет обновление плагинов, сложный пароль и бэкапы. Безопасность — это система, а не один плагин.
Игнорирование уведомлений. Wordfence и Яндекс.Вебмастер отправляют предупреждения о найденных угрозах. 80% владельцев сайтов их не читают. Подпишитесь на алерты и проверяйте раз в неделю.
SSL и SEO: как безопасность влияет на позиции в поиске
Связь между HTTPS и позициями в поиске — прямая. Google официально объявил HTTPS фактором ранжирования ещё в 2014 году. Яндекс — в 2019 году. В 2026 году это не просто «рекомендация», а базовое требование.
Практические последствия для незащищённого сайта:
- Яндекс помечает сайты без HTTPS как потенциально опасные в мобильной выдаче
- Google не передаёт реферальные данные при переходе с HTTPS-сайта на HTTP: в аналитике весь трафик отображается как «прямые заходы», а не как переходы из поиска
- Chrome с 2023 года блокирует mixed content (когда страница HTTPS, но часть ресурсов загружается по HTTP) — изображения и скрипты не загружаются
При прочих равных условиях: два одинаковых сайта, один с HTTPS, другой с HTTP. HTTPS-версия выше в выдаче всегда. Это верифицировано во всех крупных SEO-исследованиях последних трёх лет.
Поэтому настройка SSL — первый шаг при SEO-продвижении сайта. Без него дальнейшая оптимизация теряет часть эффективности.
Что включает профессиональная настройка безопасности
Разовая настройка безопасности — это не «поставить антивирусный плагин». Это системный аудит и комплекс мер, которые перекрывают реальные векторы атак.
Если вы передаёте сайт в техническое обслуживание, специалист настраивает безопасность системно:
- Установка и автообновление SSL через Let’s Encrypt
- Настройка HSTS-заголовка (браузер всегда использует HTTPS, игнорируя HTTP)
- Закрытие wp-admin по IP или двухфакторная аутентификация
- Настройка WAF-фильтра через Cloudflare
- Автоматические бэкапы в Яндекс.Облако или S3-совместимое хранилище
- Еженедельные обновления WordPress, плагинов и темы
- Мониторинг доступности и алерты при падении сайта
Всё это — часть базового пакета поддержки от 15 000 ₽/мес. Разовая настройка без поддержки — 8 000–15 000 ₽.
После настройки специалист передаёт отчёт с описанием всех выполненных мер и рекомендациями по дальнейшему обслуживанию. Регулярный аудит безопасности рекомендуется раз в 6 месяцев.
Часто задаваемые вопросы о безопасности сайтов
Что такое создание HTTPS-сайта и как это сделать?
Создание HTTPS-сайта — это установка SSL-сертификата и настройка автоматического редиректа с http:// на https://. Для WordPress: установить сертификат через панель хостинга (в Reg.ru, TimeWeb — один клик), затем в настройках WordPress изменить адрес сайта на https://. Всё — сайт работает по защищённому протоколу.
SSL-сертификат платный или бесплатный — в чём разница?
Для шифрования данных — никакой. Let’s Encrypt обеспечивает точно такое же 256-битное шифрование, как и сертификат за 50 000 рублей. Разница — в уровне верификации: платные OV/EV подтверждают юридическое лицо. Для B2B-сайта услуг Let’s Encrypt достаточно.
Как часто взламывают сайты на WordPress?
По данным Sucuri, каждый день взламывают около 30 000 сайтов по всему миру. WordPress — самая популярная CMS (43% всех сайтов), поэтому и атакуют её чаще. Но это не недостаток WordPress, а следствие популярности. Корректно настроенный WP с актуальными обновлениями взломать значительно сложнее, чем кастомную CMS на устаревшем PHP.
Что делать, если сайт уже взломали?
Алгоритм: 1) Сменить все пароли (хостинг, WP, FTP, БД). 2) Откатиться на бэкап, сделанный до взлома. 3) Если бэкапа нет — сканировать файлы антивирусом (Maldet, ClamAV) и удалить вредоносный код вручную. 4) Обновить всё до актуальных версий. 5) Запросить пересмотр в Яндекс.Вебмастере и Google Search Console, если сайт попал в чёрный список.
Нужен ли Cloudflare для защиты сайта?
Для большинства малых и средних сайтов — да, и бесплатного тарифа хватит. Cloudflare защищает от DDoS, ботов и скреперов, кэширует статику (ускоряя загрузку), скрывает реальный IP сервера. Настройка занимает 30 минут и не требует технических знаний — нужно только изменить DNS-серверы домена.
Как часто нужно делать бэкапы сайта?
Минимум — раз в неделю для небольшого сайта-визитки. Для интернет-магазина или активного блога — ежедневно. При частых обновлениях контента — несколько раз в день. Правило: потеря данных за период с последнего бэкапа должна быть приемлема для бизнеса. Для большинства компаний приемлема потеря одного дня работы.
Безопасность сайта — это не разовая задача, а постоянный процесс. Угрозы эволюционируют: в 2025–2026 году выросло число атак через автоматизированные боты, которые сканируют все WordPress-сайты в интернете в поисках известных уязвимостей. Единственная защита — держать всё обновлённым и мониторить аномалии.
АйТи-Стандарт настраивает SSL, защиту от взлома и мониторинг безопасности в рамках технической поддержки сайтов. С 2009 года — ни один наш клиент не потерял данные из-за взлома.
