Бесплатные сканеры безопасности сайта выдали три разных результата — чему верить?

Предупреждение о JavaScript, которое нашёл второй сканер, скорее всего это механизм условного редиректа. Вредоносный код не виден авторизованным админам, он открывается только посетителям с заголовком referer от Google. Через терминал с помощью curl вытяните код страницы с разными значениями User-Agent и Referer. В файле поищите подозрительные функции вроде eval, base64_decode или document.write.

Не паникуйте сразу проверьте два момента: во-первых, зайдите в панель Google Search Console и посмотрите вкладку «Проблемы безопасности» — если Google что-то поймал, там это будет явно перечислено. Во-вторых, определите дату последней чистой резервной копии сайта. Если проблема началась несколько дней назад, сравнение с бэкапом — самый быстрый путь.

В прошлом году мы проигнорировали похожее предупреждение, потому что два браузера сказали, что всё чисто. Через 48 часов наш сайт заблокировал поисковик с красным экраном. Реклама встала, и за ту неделю мы потеряли около 4.200 долларов выручки. Чистый отчёт сторонних сканеров даёт ложное спокойствие — всегда отдавайте приоритет отчёту, который говорит о заражении.

То, что третий сканер говорит о высоком риске из-за HTTP-заголовков, — типичный маркетинговый приём. Многие бесплатные инструменты преувеличивают отсутствующие заголовки безопасности так, будто на сервер попал вирус, и пытаются продать своё платное расширение. Не путайте недостаток конфигурации с активным заражением вредоносным ПО.

edit: исправил несколько опечаток.

предупреждение о внешшнем скрипте точно не игнорируйте. обычно на сайте это забытые старые счётчики или сторонние чат-пиксели которые взломали и они льют редиректы. в общем посмотрите в исходнике между тегами head — если там чужой домен, это сразу бросается в глаза.

Ваш сайт на WordPress или это кастомная разработка с нуля? И ещё — тот подозрительный JavaScript-файл лежит на вашем собственном сервере или подтягивается с какого-то стороннего? Если поделитесь этими двумя деталями, будет проще направить.

Чтобы разобраться с противоречивыми отчётами, идите по такому порядку: 1) Сохраните точную ссылку на скрипт, который второй сканер назвал подозрительным. 2) Откройте исходный код файла на сервере и изучите чужие редирект-коды. 3) Через FTP или панель сервера посмотрите дату последнего изменения. 4) Предупреждения третьего инструмента о сертификате и заголовках отложите на потом.

Не расстраивайтесь, на активных интернет-магазинах такие ложные срабатывания или мелкие утечки скриптов случаются. Если боитесь лезть в код сами, откройте тикет в поддержку вашего хостинга и передайте им лог от второго сканера — антивирусную проверку внутри сервера они сделают бесплатно.

Я столкнулся с тем же два года назад. Начните с небольшого эксперимента, не привязывайте всё сразу.

Интересно, есть ли те кто делает иначе.

по теме сканер безопасности сайта бесплатно так категорично говорить сложно. люди защищают не процесс а привычку потом короче сопротивление идет оттуда.

Как думаете, это сработает в любом масштабе? Время обнаружения проблемы напрямую определяет ее стоимость.

Удачи.

Мы тоже какое-то время назад застряли на том же месте. Когда пытаешься изменить всё сразу, ничего не приживается.

Начните с небольшого эксперимента, не привязывайте всё сразу. Это мое мнение, не утверждаю, что оно единственно верное.

появились три разнхы мнения они дополняют друг друга. ну если разрешение и объем тестирования не зафиксированы письменно тест не начинать.

я бы пошел этим путем.

Верно. Ответ сильно зависит от отрасли, универсального правила нет.

Интересно, есть ли те, кто делает иначе.

Полностью согласен. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Интересно, есть ли те, кто делает иначе.

Согласен хочу даже особо подчеркнуть... Люди защищают не процесс, а привычку. короче сопротивление идет оттуда.

Проверено опытом.

Вопрос будет немного наивным, извините заранее. Время обнаружения проблемы напрямую определяет ее стоимость.

При принятии решений записывайте и худший сценарий, а не только лучший. Оставлю как заметку, пригодится.

Пишу это, чтобы вы не совершили ту же ошибку. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

На этом всё, извините, если затянул.