Абарона форм і даных, юрыдычная празрыстасць і сігналы даверу, якія ўлічваюць кліенты і пошукавікі.
Мінімальны набор: праверка даных на серверы (не толькі ў браўзеры), HTTPS, абмежаванне частаты адправак з аднаго IP, схаванае поле-пастка для ботаў, праверка часу запаўнення і, пры атаках, капча накшталт Cloudflare Turnstile. Лісты лепш адпраўляць праз SMTP з SPF і DKIM — так яны не трапяць у спам. Логі з IP захоўвайце абмежаваны час.
WAF (web application firewall) фільтруе тыповыя атакі — SQL-ін’екцыі, перабор пароляў, шкодных ботаў — да таго, як запыт дойдзе да сайта. Для сайтаў з CMS і формамі гэта карысна. Але важна наладзіць выключэнні: агрэсіўныя рэжымы абароны блакуюць пошукавых і AI-краўлераў. Правярайце, што robots.txt, sitemap.xml і старонкі аддаюць ботам 200, а не капчу.
Шматфактарная аўтэнтыфікацыя — уваход па паролі плюс другі фактар: код з праграмы, апаратны ключ або push-пацвярджэнне. Для сайта яна абавязковая ў адмінцы CMS, на хостынгу, у DNS-рэгістратара, у Search Console і пошце: кампраметацыя любога з гэтых акаўнтаў дазваляе падмяніць сайт або перахапіць дамен. SMS — самы слабы варыянт другога фактару.
Бэкап дазваляе аднавіць сайт пасля ўзлому, памылкі абнаўлення або збою хостынгу. Правіла 3-2-1: тры копіі, на двух розных носьбітах, адна — па-за асноўным хостынгам. Капіруюць і файлы, і базу даных. Галоўнае — рэгулярна правяраць аднаўленне: копія, з якой не ўдаецца разгарнуць сайт, бескарысная.
Нельга публікаваць выдуманыя водгукі і выдаваць іх за сапраўдныя — гэта несумленная рэклама, і пошукавікі ўмеюць гэта распазнаваць. Рэальныя водгукі з імем, фота, назвай кампаніі або вынікамі праекта публікуюць з пісьмовай згоды кліента. Бяспечны варыянт — узгадніць тэкст і фармат подпісу і захоўваць пацвярджэнне згоды.
Рэквізіты — назва юрасобы або ІП, рэгістрацыйны нумар (УНП, БІН, ІНН), адрас — паказваюць, з кім кліент заключае дамову і куды накіроўваць прэтэнзіі. Для Яндэкса гэта частка камерцыйных фактараў, для Google — сігнал надзейнасці (E-E-A-T). У шэрагу краін, напрыклад у Расіі, указанне рэквізітаў на сайце прадаўца абавязковае па законе.
Дакумент, у якім сайт тлумачыць, якія персанальныя даныя збірае, навошта, на якой падставе, колькі захоўвае, каму перадае і як чалавек можа іх выдаліць або адклікаць згоду. Палітыка павінна быць даступная па спасылцы з формы і падвала. У Беларусі дзейнічае Закон «Аб абароне персанальных даных», у Расіі — 152-ФЗ.
Не. Даныя ў localStorage або cookies браўзера застаюцца толькі на прыладзе наведвальніка — вы іх не атрымаеце, а пры ачыстцы браўзера яны знікнуць. Заяўка павінна адпраўляцца на сервер па HTTPS і дастаўляцца ў пошту або CRM з абмежаваным доступам. Захоўвайце толькі палі, якія сапраўды патрэбны для адказу.
Камбінацыя мер працуе лепш за адну: схаванае поле-пастка, мінімальны час запаўнення формы, ліміт адправак з IP, фільтр спасылак і стоп-слоў, капча толькі пры падазронай актыўнасці, каб не перашкаджаць людзям. Для каментарыяў — прэмадэрацыя. Рэгулярна глядзіце логі: усплёск запытаў да адной формы — сігнал атакі.
Не. Бяспека — працэс зніжэння рызык: абнаўленні CMS і плагінаў, мінімальныя правы доступу, MFA, бэкапы, маніторынг і план рэагавання на інцыдэнты. Нават буйныя кампаніі сутыкаюцца з уцечкамі. Сумленны падрадчык апісвае, якія меры прымае і як дзейнічае пры інцыдэнце, а не абяцае, што ўзлом немагчымы.
Нічога не знойдзена.
