BetaBeta: базовая защита бесплатно, расширенный тариф — 90 ₽ в день.Проект в стадии beta — базовая защита навсегда бесплатно, расширенный тариф — 90 ₽ в день с поминутным списанием.
Уязвимости сайта: как понять риск и защитить бизнес
Разбираем известные уязвимости простым языком: затронут ли ваш сайт, что обновить и какие признаки проверить. Если подключить BotProtection, автоматизированные запросы можно отфильтровать на уровне защиты до того, как они попадут на сайт. Это заметно снижает вероятность, что бот доберётся до уязвимого компонента и начнёт его проверять или атаковать, но не заменяет исправление уязвимой CMS, плагина или библиотеки.
Для самостоятельно размещённого Elasticsearch выясните, включена ли защита, настроены ли учётные записи и шифруется ли HTTP-трафик. В версиях 8 и новее защита включается автоматически при первом запуске, но старый кластер и его сетевые настройки нужно проверять отдельно.
Администраторам Elasticsearch и Kibana, которые сопровождают самостоятельно размещённый одиночный узел или кластер из нескольких узлов.
Self-hosted runner выполняет код workflow в вашей инфраструктуре. Не подключайте runner с секретами и внутренней сетью к публичному репозиторию без сильной границы доверия и контроля жизненного цикла.
Администраторам CI-инфраструктуры и владельцам публичных/внутренних репозиториев.
Права GITHUB_TOKEN задаются на уровне организации, репозитория, workflow и job. Начните с read-only по умолчанию и выдавайте write только конкретной задаче, особенно для workflow из pull request и Dependabot.
Владельцам репозиториев и командам DevOps, которые поддерживают GitHub Actions.
Проверьте RBAC не только по ролям, но и по привязкам, namespace и service accounts. Права чтения Secrets, запуска Pod и выдачи ролей могут открыть путь к повышению привилегий; начните с минимальных разрешений.
Администраторам Kubernetes и владельцам платформенных команд.
Проверьте, какие пользователи и приложения могут читать Kubernetes Secrets, и кто вправе создавать Pod в namespace. Секреты Kubernetes по умолчанию не следует считать зашифрованными в etcd только потому, что значение показано в Base64.
Администраторам Kubernetes, владельцам приложений и командам, которые управляют доступом разработчиков и сервисных учётных записей.
Токен service account даёт Pod возможность обращаться к Kubernetes API от имени этой учётной записи. Проверьте права, автоматическое монтирование, аудиторию и срок действия токена; не копируйте bearer-токены в логи.
Администраторам кластера и разработчикам workload, которым требуется доступ к Kubernetes API.
Для самостоятельно размещённой MongoDB проверьте адреса прослушивания, сетевые правила и включение контроля доступа. Привязка ко всем интерфейсам сама по себе не доказывает доступ из интернета, а пароль не заменяет сетевое ограничение.
Владельцам и администраторам самостоятельно размещённых MongoDB, особенно если сервер находится в облаке, контейнере или сети рядом с публичным сайтом.
Для MySQL проверьте, требует ли сервер защищённый транспорт, и может ли клиент проверить сертификат. Глобальный `require_secure_transport` запрещает незащищённый TCP, а режим клиента `VERIFY_IDENTITY` дополнительно предназначен для проверки цепочки и имени сервера.
Администраторам MySQL, разработчикам приложений и специалистам, отвечающим за шифрование соединений между сервисами и базой данных.
HTTP Basic Authentication ограничивает доступ к ресурсу парой имени и пароля, но не шифрует transport. Используйте её только поверх TLS, храните htpasswd с сильным hash и дополнительно ограничивайте служебные маршруты по сети.
Администраторам nginx, которым нужно временно или постоянно ограничить служебные страницы, мониторинг и тестовые панели.
ngx_http_realip_module может заменить адрес клиента значением из заголовка. Ограничьте set_real_ip_from только доверенными proxy, иначе клиент сможет подделать IP для логов и ACL.
Администраторам nginx за CDN, load balancer или ingress.
Модуль nginx stub_status показывает активные соединения, принятые запросы и состояния workers. Ограничьте endpoint доверенной сетью или локальным доступом и не считайте небольшую страницу безопасной для публикации в интернет.
OpenSSH отключает слабые legacy-алгоритмы по умолчанию, но их можно временно включить для старого оборудования. Найдите такие исключения, замените ключи и алгоритмы, а временную совместимость ограничьте конкретным Host.
Администраторам Linux/Unix, сетевого оборудования и автоматизации SSH.
Сначала подтвердите стек и версии. Наличие WordPress, Linux или конкретной библиотеки само по себе не означает, что система уязвима.
Сверьте рекомендации с поставщиком. Дистрибутивы и хостинги могут выпускать backport-исправления, не меняя базовый номер версии.
Снизьте шанс автоматизированной атаки. BotProtection фильтрует подозрительные запросы до сайта, поэтому ботам сложнее добраться до уязвимого компонента. Это дополнительный слой защиты, а не исправление самой уязвимости.
Каждый разбор содержит ссылки на источники. Перед изменениями производственной системы проверяйте актуальные инструкции поставщика программного обеспечения.
Не дайте ботам добраться до уязвимого сайта
BotProtection фильтрует автоматизированные запросы до сайта. Так вероятность успешной атаки становится значительно ниже, пока вы устанавливаете обновления и устраняете саму уязвимость.
