Захист сайту
Статті та відео по захисту сайтів на Joomla від зламу: поради, огляди розширень, уроки, теоретична інформація. Ґрунтується на багаторічному досвіді
Вразливості сайтів на Joomla та WordPress: порівняльний аналіз і статистика
- Популярність Joomla та WordPress.
- Статистика вразливостей.
- Порівняння рівня безпеки та вразливостей сайтів на WordPress і Joomla.
- Joomla vs WordPress: вразливості, злами та популярність.
- Можливі причини росту зламів.
- Джерело даних по вразливостях.
Займаюсь розробкою сайтів приблизно з 2008 року, на Joomla – десь з 2010 року. Майже завжди працюю саме з цією CMS. Є декілька своїх особистих сайтів на ній. З 2010 року і по травень 2026 мені періодично траплялися замовлення на відновлення сайтів після зламу. Також досить часто надавав послуги по захисту сайтів від зламу. Мій особистий сайт Aleksius.com за весь період його існування (приблизно з січня 2011 року) був зламаний 1 раз.
У червні-липні 2026 я оновив та налаштував захист для більш ніж 60 сайтів на Joomla. Приблизно половина чи третина з них була зламана (злами пов’язані не з самою Джумлою, а з розширеннями від сторонніх розробників). Такої великої кількості зламаних сайтів за такий короткий термін в моїй практиці ще не було. На сайтах різних розробників популярних розширень для Joomla почали з’являтись повідомлення про знайдені вразливості та нові версії розширень з виправленими вразливостями, наприклад JCE, Helix Ultimate, Helix 3, SP Page Builder та інші.
Якщо Вас цікавить питання підвищення захисту сайту, раджу ознайомитись зі статтею «Захист сайту від зламу. Що робити до та після зламу».
Захист сайту від зламу. Що робити до та після зламу
У попередній статті «Вразливості сайтів на Joomla та WordPress: порівняльний аналіз і статистика» ми розглянули ситуацію зі стрімким зростанням даних про знайдені вразливості у розширеннях Joomla та плагінах WordPress. У цій статті розглянемо поради стосовно того, що треба робити для мінімізації ризиків зламу та пом’якшенню наслідків зламу. А також розглянемо типові послідовності дії, які можуть допомогти у відновленні сайту після зламу.
Пропоновані поради можуть бути корисні як для сайтів на Joomla та WordPress, так і для сайтів на інших CMS. Меншою мірою вони будуть корисні для всіх інших сайтів.
Відеоурок по плагіну «Заголовки HTTP». Захист Joomla від XSS, Clickjacking та інших загроз
- Тип – вбудований плагін для захисту Джумла від атак.
Плагін «Система. Заголовки HTTP» у Joomla (починаючи з 4-ї версії) призначений для посилення безпеки вебсайту за допомогою керування HTTP-заголовками безпеки (HTTP Security Headers) безпосередньо з панелі керування. Головна його мета – захистити сайт та його відвідувачів від поширених кібератак (таких як XSS, Clickjacking, витік даних тощо).
Це, та інші розширення, не дає 100% гарантії захисту сайту від зламу.Але воно може допомогти підвищити захищеність сайту.
Відеоурок з налаштувань RSFirewall (WAF). Комплексна безпека Joomla
- Тип – платний компонент комплексного захисту сайту Джумла від зламу.
- Придбати RSFirewall. Оновлення та технічна підтримка на 12 місяців для одного сайту.
- Придбати RSFirewall. Оновлення та технічну підтримку на 6 місяців для декількох сайтів.
- Придбати RSFirewall. Оновлення та технічна підтримка на 12 місяців для кількох сайтів.
RSFirewall – це платний компонент безпеки для Joomla, розроблений для комплексного захисту вебсайтів від широкого спектра кіберзагроз у режимі реального часу. Також є версія і для WordPress. Його головна мета – створити багаторівневий бар'єр між зловмисниками та вразливостями, які можуть існувати в ядрі системи, сторонніх розширеннях або шаблонах. Завдяки активному сканеру, компонент мінімізує спроби SQL-ін'єкцій, PHP, LFI (локальне включення файлів) та XSS-ін'єкцій (міжсайтовий скриптинг). Він також може зменшити ризики RCE (віддалене виконання коду) та RFI (віддалене включення файлу), ускладнюючи хакерам отримати контроль над сервером. Крім того, інструмент забезпечує базовий захист від DoS-атак та автоматизованого спаму.
Налаштування Admin Tools Professional. Комплексна безпека Joomla
- Тип – платний компонент комплексного захисту сайту Джумла від зламу.
Admin Tools Professional – це платний компонент Joomla, розроблений для підвищення рівня безпеки вебсайту та запобігання різноманітним кіберзагрозам. Також є версія і для WordPress. Його головна мета – не просто реагувати на атаки, а створити превентивні бар'єри, які значно ускладнять зловмисникам пошук та експлуатацію вразливостей. Цей інструмент має вбудований Web Application Firewall (WAF) і діє як на рівні самої CMS, так і на рівні серверних налаштувань.
Admin Tools Pro дозволяє приховати стандартну адресу адмінки за допомогою секретного URL-параметра, що зводить нанівець шанси для більшості автоматизованих brute-force атак. Якщо зловмисник не знає цього секретного ключа, він просто не зможе відкрити сторінку авторизації. Крім того, компонент автоматично блокує IP-адреси після серії невдалих спроб входу та має інструменти для відхилення підозрілого трафіку від спам-ботів.
Багатофакторна автентифікація в Joomla (MFA). Налаштування та використання
- Тип – вбудований в Джумла плагін.
Багатофакторна автентифікація (MFA, 2FA або «посилена автентифікація») – це метод ідентифікації користувача, який вимагає надання двох різних типів доказів (факторів) перед наданням доступу. MFA може підвищити захист сайту від Brute Force та інших схожих атак. Починаючи з Joomla 4.2 доступні різні фактори аутентифікації. У відео розглядаю метод одноразових паролів на базі застосунка Google Authenticator.
В Україні існують прямі законодавчі та нормативні вимоги щодо обов'язкового застосування двофакторної (посиленої) автентифікації. Проте вони стосуються фінансового сектору, державних реєстрів та об'єктів критичної інфраструктури.
