Как проверить сайт на безопасность: 5 шагов для владельца перед проверкой РКН

Проверить сайт на безопасность: с чего начать владельцу

Чтобы проверить сайт на безопасность, начните с простого действия: откройте его в браузере как обычный посетитель. Посмотрите на адресную строку. Адрес должен начинаться с https, а рядом с ним отображается значок замка. Если вместо этого вы видите http или предупреждение о небезопасном соединении, это первый сигнал для исправления.

Замок означает, что данные между браузером и сервером шифруются. Пользователи всё чаще обращают на него внимание, особенно когда вводят личные данные в формы. Отсутствие защищённого соединения снижает доверие и увеличивает риск, что посетитель уйдёт без заявки. Проверяющие органы также обращают внимание на базовые признаки безопасности сайта.

Откройте сайт с телефона и с компьютера, в разных браузерах. Убедитесь, что страницы загружаются корректно, без ошибок и долгих ожиданий. Если на мобильном устройстве вёрстка разваливается или появляются предупреждения, это повод заняться технической частью. Наличие https не даёт полной защиты от всех угроз, но его отсутствие точно создаст проблемы при проверке.

Если вы сомневаетесь в настройках или хотите убедиться, что сайт соответствует требованиям законодательства, закажите аудит сайта по 152-ФЗ. Специалист проверит не только соединение, но и документы, формы и порядок обработки данных.

Политика конфиденциальности для сайта: обязательный документ

Если сайт собирает имя, телефон или e-mail посетителя, политика конфиденциальности для сайта обязательна по закону. Без неё вы рискуете получить предписание Роскомнадзора и потерять доверие клиентов. Документ размещают в подвале каждой страницы, чтобы он был доступен с любого раздела.

В тексте политики опишите, какие данные вы собираете (имя, телефон, e-mail, файлы cookie), зачем они нужны, как хранятся и кому передаются. Например, если вы отправляете заявки в CRM или передаёте данные курьерской службе, это нужно указать. Чем прозрачнее описание, тем меньше вопросов при проверке.

С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельно от других документов. Его нельзя прятать в пользовательском соглашении или договоре. На сайте это выглядит так: отдельная галочка под формой с текстом «Согласен на обработку персональных данных» и ссылкой на политику.

Политика конфиденциальности по 152-ФЗ помогает избежать штрафа за отсутствие уведомления Роскомнадзора. Юрлицу грозит от 100 до 300 тысяч рублей, если вы обрабатываете данные без уведомления. Документ подтверждает, что вы знаете требования и готовы им следовать.

Проверьте, что ссылка на политику есть в футере, в формах заявок и в модальных окнах. Если сайт на Тильде или WordPress, добавьте страницу через меню и укажите её в настройках. Не копируйте текст с чужого сайта без адаптации: перечень данных и целей у каждого бизнеса свой.

Формы на сайте: как не нарушить закон при сборе данных

Каждая форма обратной связи, заявки или подписки собирает персональные данные: имя, телефон, электронную почту, иногда город или название компании. Владелец сайта отвечает за то, чтобы эти данные собирались законно, а пользователь понимал, на что соглашается. Проверьте свои формы по простому списку, чтобы избежать штрафов и претензий.

• Перед кнопкой отправки формы разместите чекбокс с текстом о согласии на обработку персональных данных и ссылкой на политику конфиденциальности. Без явного согласия отправка формы считается незаконной.
• Убедитесь, что чекбокс не отмечен по умолчанию. Пользователь должен сам поставить галочку, иначе согласие не будет считаться добровольным.
• Не запрашивайте данные, которые не нужны для вашей работы. Например, для заказа звонка достаточно имени и телефона, а паспортные данные или точный адрес в форме подписки вызовут подозрение и нарушат принцип минимизации данных.
• Проверьте, куда уходят данные после отправки. Если форма отправляет письмо на корпоративную почту или передаёт заявку в CRM, убедитесь, что серверы находятся в России, а канал передачи защищён шифрованием.
• Разместите ссылку на политику конфиденциальности рядом с чекбоксом, а не только в подвале сайта. Пользователь должен иметь возможность ознакомиться с документом до отправки данных.
• Если на сайте есть формы авторизации через иностранные сервисы, например Google или идентификатор Эпл, замените их на вход по номеру телефона или через российские сервисы. С 2026 года за такую авторизацию юрлицам грозит штраф от 500 до 700 тысяч рублей.

После отправки формы пользователь должен видеть подтверждение, что данные получены, и понимать, как отозвать согласие. Добавьте в письмо-подтверждение или на страницу благодарности контакты для связи с ответственным за обработку данных. Такая проверка доступности сайта онлайн с точки зрения закона занимает не больше часа, но помогает избежать серьёзных последствий при проверке Роскомнадзора.

Уведомление Роскомнадзора: когда и как подавать

Если вы собираете персональные данные через сайт, вы оператор и обязаны уведомить Роскомнадзор. Это касается форм обратной связи, заявок, подписки, онлайн-оплаты и даже простого запроса номера телефона. Уведомление подаётся один раз, в нём указываются цели обработки, категории данных и меры защиты.

Проверить, подано ли уведомление, можно в реестре операторов на сайте Роскомнадзора. Введите название организации или ИНН в поиске. Если записи нет, подайте уведомление через электронную форму на портале ведомства или через Госуслуги. Процедура бесплатная, но требует внимательности: ошибки в целях обработки или категориях данных считаются нарушением.

С 30 мая 2025 года за отсутствие уведомления юрлицу грозит штраф от 100 до 300 тысяч рублей, должностным лицам и ИП от 30 до 50 тысяч рублей. Штрафуют не только за полное отсутствие документа, но и за неактуальные сведения: если вы начали собирать новые данные, а уведомление не обновили.

Типичная ошибка: владелец считает, что уведомление подаёт разработчик при создании сайта. На деле ответственность лежит на операторе данных, то есть на вашей компании. Если сайт делал подрядчик, проверьте, передал ли он вам копию уведомления и внесены ли в него актуальные данные.

Порядок действий такой:

• Найдите свою компанию в реестре операторов на сайте Роскомнадзора.
• Если записи нет, заполните электронную форму уведомления: укажите наименование, адрес, цели обработки, категории данных и меры защиты.
• Отправьте уведомление и сохраните подтверждение.
• При изменении целей или данных подайте информационное письмо о внесении изменений.
• Раз в год сверяйте данные в реестре с реальностью.

Если вы не уверены, что уведомление оформлено правильно, закажите аудит у специалистов. На проверке безопасности сайта мы часто видим, что уведомление есть, но в нём указаны не все категории данных или неверные цели. Это такая же уязвимость, как дыра в коде.

Технические уязвимости: что проверить без программиста

Большинство взломов малых сайтов происходит из-за простых вещей: устаревшая система управления, слабый пароль, отсутствие резервной копии. Проверить базовые настройки можно самостоятельно за один вечер, без глубоких технических знаний.

• Обновите CMS и все плагины до последних версий. Устаревшие компоненты остаются самой частой причиной взломов сайтов на популярных движках вроде WordPress или 1С-Битрикс. Проверьте раздел обновлений в админке и установите все доступные патчи безопасности.
• Смените все пароли на сложные и уникальные. Это касается входа в админку сайта, панель хостинга, базу данных и FTP-доступ. Пароль должен содержать не менее 12 символов с буквами разного регистра, цифрами и спецсимволами. Не используйте один пароль для разных сервисов.
• Настройте регулярное резервное копирование сайта и раз в месяц проверяйте, что копия восстанавливается. Многие хостинг-провайдеры делают бэкапы автоматически, но лучше держать отдельную копию файлов и базы данных вне сервера, например в облачном хранилище.
• Проверьте сайт на вредоносный код бесплатными онлайн-сканерами или попросите хостинг-провайдера выполнить проверку. Обратите внимание на незнакомые файлы в корне сайта, подозрительные скрипты в коде страниц и посторонние ссылки в подвале.
• Ограничьте доступ к админке по IP или включите двухфакторную аутентификацию. Если сотрудники заходят в панель управления из дома или с мобильных устройств, двухфакторная защита обязательна. Это снижает риск подбора пароля даже при утечке учётных данных.
• Убедитесь, что на сайте не используются иностранные сервисы авторизации вроде Google или Apple ID. С 2026 года за это юрлицам грозит штраф от 500 до 700 тысяч рублей по статье 13.55 КоАП. Замените такие кнопки на вход по номеру телефона или через отечественные сервисы.
• Следите за признаками взлома: сайт стал медленно загружаться, в выдаче появились посторонние страницы, браузер показывает предупреждение о небезопасном соединении. При подозрении сразу смените пароли, восстановите сайт из чистой резервной копии и попросите хостинг-провайдера проверить сервер.

Если вы готовите новый проект, включите тестирование сайта перед запуском в свой чек-лист: проверка обновлений, паролей и резервного копирования на этапе разработки дешевле, чем устранение последствий взлома после запуска.

Когда самостоятельной проверки мало: план действий

Пять шагов из этой статьи закрывают базовые риски для типового сайта на популярной CMS. Вы проверили документы, формы, уведомление Роскомнадзора и технические настройки. Если сайт работает на самописной системе или имеет нестандартный функционал, этих проверок недостаточно. В коде могут быть уязвимости, которые не видны без специальных инструментов.

Высокая цена ошибки тоже повод для профессионального аудита. Сайт, который обрабатывает платежи или хранит чувствительные данные клиентов, не прощает промахов. Штраф за нарушение правил обработки персональных данных достигает 300 тысяч рублей для юридических лиц. Утечка базы клиентов обойдётся дороже: потеря репутации и судебные иски.

Если после выполнения чек-листа остались сомнения или вы нашли нарушения, не откладывайте решение. Профессиональный аудит включает проверку кода, настройки сервера, тестирование на проникновение и оценку соответствия законодательству. Специалист увидит то, что скрыто от владельца: ошибки в конфигурации, устаревшие модули, следы взлома.

Пройдите по шагам и отметьте, что уже выполнено, а что требует внимания. Если хотя бы один пункт вызывает сомнения, запланируйте детальный аудит сайта. Ошибки в безопасности дорого обходятся бизнесу, а проверка Роскомнадзора не предупредит о визите заранее.

Часто задаваемые вопросы

Константин Крючков

Senior SEO-специалист

Подписаться на ТГ