Как защитить сайт от взлома: разумный минимум

Зачем вообще ломать ваш сайт

Редко ради шантажа. Гораздо чаще — чтобы поставить спам-страницы, продающие чужой товар, встроить редирект на мошеннический ресурс или рассылать письма с вашего сервера. Вы об этом узнаёте, когда Chrome начинает показывать посетителям красный экран, а Яндекс снимает сайт с показов.

Шесть мер, которые закрывают большинство рисков

• Обновления. Движок и плагины — самая частая точка входа. Не обновляется — значит, дырявое.
• Меньше плагинов. Каждый лишний — ещё один чужой код на вашем сервере.
• Разные и длинные пароли к панели хостинга, FTP, админке и базе. Один пароль на всё — это один взлом на всё.
• Двухфакторка на хостинге и в админке, если движок умеет.
• Резервные копии с автоматическим расписанием и хранением вне сервера.
• Права на файлы без вседозволенности: 755 на папки, 644 на файлы.

Признаки, что сайт уже заражён

Симптом	Что это обычно значит
В поиске у страниц чужие заголовки	Внедрены спам-страницы
С телефона сайт куда-то перекидывает	Редирект по типу устройства
Файлы изменены, а вы их не трогали	Кто-то имеет доступ к серверу
Хостинг жалуется на рассылку писем	Сервер используют как спам-машину

Что делать, если уже случилось

По порядку: снять копию текущего состояния для разбора, сменить все пароли, вычистить вредоносный код или развернуть чистую копию, закрыть дыру, через которую зашли, и только потом запросить перепроверку в Search Console и Вебмастере. Если пропустить четвёртый шаг, через неделю всё повторится.