Когда вы создаете сайт, самое страшное - это взлом. Чаще всего хакеры ломают сайты не через сложный подбор паролей, а через "дыры" в коде, куда можно вставить вредоносную команду. Мы называем это "инъекциями".
В нашей системе управления сайтом (RK-CMS) и во всех её плагинах и дополнениях мы выстроили такую защиту, что вам не придется переживать за сохранность данных. Мы не просто написали код, мы продумали систему "двойного фильтра".
Защита на входе: Проверяем всё, что приходит от пользователя
Представьте, что ваш сайт - это дом. Посетители постоянно что-то приносят: заполняют формы, пишут комментарии, используют поиск.
Мы не пускаем в дом никого и ничего без досмотра. Абсолютно все данные, которые вводит пользователь (будь то текст в поле "Имя" или запрос в поисковой строке), проходят через фильтр.
Если злоумышленник попытается вместо имени ввести кусок вредоносного кода, чтобы сломать базу данных, наш фильтр распознает это и обезвредит. Система просто не даст выполниться чужой команде. Вы и ваши посетители даже не заметите попытки атаки - она будет заблокирована на входе.
Защита на выходе: Мы не доверяем даже своей базе данных
Многие разработчики успокаиваются на первом пункте: "Мы проверили ввод, значит, в базе данных лежит что-то хорошее". Но мы так не считаем.
В жизни бывает всякое: база данных может быть взломана через другой скрипт, или администратор случайно импортирует "грязный" файл. Поэтому у нас есть второй рубеж обороны.
Мы фильтруем всё, что показываем на экране.
Даже если в базе данных каким-то чудом оказался вирус или вредоносный скрипт, RK-CMS не выведет его на страницу сайта в "сыром" виде. Система автоматически превратит опасный код в безобидный текст, который виден глазу, но не может навредить браузеру пользователя.
От каких именно атак мы защищаем?
Чтобы вы понимали масштаб угроз, перечислим самые популярные виды инъекций, которые пытаются применить злоумышленники, и объясним, как наша защита их блокирует.
SQL-инъекции
Это когда через форму входа, поиска или подписки хакер пытается обмануть базу данных. Например, вводит специальный код, который заставляет базу выдать все пароли или удалить важные таблицы. Наш фильтр на входе распознаёт такие команды и не даёт им сработать. База данных получает только безопасные данные.
XSS (межсайтовый скриптинг)
Это когда в комментарий, отзыв или личное сообщение вставляют вредоносный JavaScript. Когда другой посетитель открывает страницу, этот скрипт крадёт его cookies (данные для входа) или перенаправляет на мошеннический сайт. Благодаря фильтрации на выходе, RK-CMS превращает опасный код в обычный текст, который видно на экране, но который не выполняется браузером.
Инъекции в заголовки и письма
Иногда через форму обратной связи злоумышленники пытаются подделать служебные заголовки письма, чтобы использовать ваш сервер для рассылки спама. Мы проверяем все поля и не позволяем вставлять туда лишние команды.
Обход каталогов (Path Traversal)
Это попытка через адресную строку или загрузку файла получить доступ к файлам сервера, которые не должны быть видны (например, к файлам конфигурации). Мы контролируем пути и имена файлов, не выпуская данные за пределы разрешённых папок.
Выполнение произвольных команд
Если на сервере есть уязвимость, хакер может попытаться запустить системные команды прямо с сайта. Наш код построен так, чтобы пользовательские данные никогда не попадали в системные вызовы без предварительной очистки.
Почему это важно для вас?
Многие думают: "Мой сайт никому не нужен, его не взломают". Это миф. Боты атакуют все сайты подряд в поисках уязвимостей. Если сайт ломают, там размещают вирусы для кражи паролей или ссылки на запрещенные товары. Поисковики быстро узнают об этом и удаляют сайт из выдачи.
Используя RK-CMS, вы получаете систему, которая заботится о вашей репутации. Мы держим всё под контролем дважды: и на входе, и на выходе. Вам остается только наполнять сайт контентом.
