Насколько можно верить бесплатным онлайн-чекерам безопасности сайта, прежде чем заказывать платный аудит?

Почти все бесплатные тулы занимаются пассивным сканированием. То есть тупо смотрят на HTTP-заголовки ответа (Content-Security-Policy, Strict-Transport-Security и т.д.). У них нет доступа внутрь, поэтому они не смогут проверить SQL-инъекции или дыры в сессиях авторизованных пользователей. Заголовки настроить полезно, но это вообще не гарантия от взлома.

Мы при обороте в полмиллиона баксов наступили ровно на эти грабли. По бесплатным сканерам всё горело зеленым. А потом хостинг внезапно заблочил сайт, потому что на сервер залили PHP-скрипт, который в фоне успел разослать 3 000 спам-писем. Пришлось отдать 1 800 долларов аварийной бригаде спецов, чтобы всё вычистить и поднять базу.

Доверять оценкам бесплатных сканеров — это как помыть машину и думать, что теперь масло из мотора точно не потечет. Кузов блестит, а коробка передач уже на ладан дышит. Если в чекерах все зеленое расслабляться точно рано.

Не спешите отдавать 2 500 долларов. Сначала сами закройте то, на что ругаются бесплатные тулы: пропишите заголовки в конфиге сервера или через плагин безопасности. Затем снесите весь мусор из плагинов и накатите свежую версию PHP. Сделайте базовую домашку, а потом уже, если припрет, будете торговаться со спецами.

Конторы по безопасности за эти 2 500 долларов нередко просто запускают платный автосканер и скидывают вам сгенерированный PDF-отчет. Обязательно уточняйте, входит ли туда ручной анализ логики. Если там тупо автоматический прогон софтом — таких денег это точно не стоит.

слушайте а если оплата идет через редирект на сторонний платежный шлюз в случае заражения сайта данные карт клиентов всё равно могут увести? мы просто были уверены, что раз номера карт у себя не храним то и бояться нечего.

Как разбирать отчеты бесплатных чекеров: 1) Если блэклисты зеленые — домен не в спам-базах, базовый плюс. 2) Ошибки по заголовкам правим в конфиге сервера по подсказкам сканера. 3) Старые плагины сразу обновляем или ищем альтернативу. 4) На стороне сервера ставим мониторинг целостности файлов, чтобы отслеживать любые изменения по дням.

второй год в e-commerce бесплатные сканеры видят ток банальщину. кстати закройте вход в wp-admin по айпи и смените урл логина, это срежет кучу атак которые эти тулы даже не покажут. для начала этого с головой хватит.

Редко встретишь текст с такой ясностью изложения. кстати чем сложнее отменить решение, тем медленнее его принимайте.

верно.

Краткое резюме для новичков: То что делают все не значит, что это правильно.

Я бы пошел этим путем.

Мы тоже какое-то время назад застряли на том же месте. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Эта тема в архиве.

Здесь есть ловушка, не могу промолчать. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Проверено опытом.

мне тоже интересно.

Есть один момент который меня интересует. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Если включена двухфакторная аутентификация украденный пароль бесполезен. Конечно, если ваша ситуация отличается, всё меняется.

при выполнеии этого часто совершают одну ошибку.. и большинство инцидентов начинается не с уязвимости а с украденного пароля.

я бы пошел этим путем.

Согласен, хочу даже особо подчеркнуть. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Не полагайтесь на одну меру защиты; действуйте слоями. На этом всё, извините, если затянул.