Сколько стоит аудит безопасности сайта на Битрикс?
Зависит от масштаба сайта и количества модулей. Небольшой корпоративный сайт — как правило, несколько часов работы. Интернет-магазин с десятками модулей из Маркетплейса и кастомными доработками — от одного рабочего дня. Первичная оценка бесплатно, точную стоимость называю после знакомства с проектом.
Что именно проверяется при аудите?
Целостность файлов ядра и модулей — сравнение с чистой поставкой Битрикс. Поиск бэкдоров, веб-шеллов и вредоносных вставок в файлах и базе данных. Анализ логов сервера на подозрительную активность. Проверка cron-задач и агентов. Аудит конфигурации: WAF, проактивная защита, права доступа, открытые служебные скрипты. Тестирование на известные CVE вашей версии Битрикс и установленных модулей.
Можно ли проверить безопасность сайта самостоятельно?
Встроенный сканер безопасности Битрикс — полезный инструмент, но он проверяет только часть поверхности атаки. Он не находит бэкдоры в базе данных, замаскированные веб-шеллы с eval и base64, вредоносные агенты в cron. Без анализа логов сервера невозможно определить, были ли попытки проникновения и через какой вектор. Для базовой проверки — запустите сканер и включите проактивную защиту. Для полноценной — нужен аудит с анализом логов и файловой системы.
Что будет, если не проводить аудит?
Три волны массовых атак 2022–2025 годов показали: если уязвимость есть — её найдут. Автоматические сканеры перебирают известные дыры в Битрикс круглосуточно. Результат — бэкдоры, спам-рассылки с вашего сервера, блокировка в поисковиках, потеря данных. Лечение заражённого сайта обходится в разы дороже, чем превентивная проверка.
Наш сайт на решении АСПРО — нужен ли аудит?
Особенно нужен. В 2024–2025 годах три волны массовых атак были направлены именно на сайты с устаревшими решениями АСПРО, eSolutions и «Маяк». Уязвимости в этих решениях эксплуатировались автоматически. Даже если сайт внешне работает нормально, бэкдор может быть уже установлен и ожидать активации.
Сайт обновлён до последней версии — зачем аудит?
Обновление закрывает известные уязвимости ядра, но не решает три проблемы. Первая — бэкдоры, установленные до обновления, остаются в файлах и базе данных. Вторая — модули из Маркетплейса обновляются отдельно и могут содержать собственные дыры. Третья — кастомный код и конфигурация сервера не проверяются обновлением. В декабре 2025 года были опубликованы две новые CVE в модуле Translate с публичным PoC — до выхода патча.
Что делать, если аудит выявит уязвимости?
По итогу аудита вы получаете конкретный список найденных уязвимостей с рекомендациями по устранению и оценкой критичности. Устранение можно провести сразу — я называю стоимость и сроки до начала работ. Если вы хотите передать устранение своему разработчику — отчёт содержит достаточно технических деталей для этого.
Как часто нужно проводить аудит безопасности?
Зависит от критичности сайта. Для интернет-магазина или портала с персональными данными — как минимум раз в полгода и после каждого крупного обновления. Для корпоративного сайта — раз в год и после установки новых модулей. При появлении новостей о массовых атаках на Битрикс — внеплановая проверка.
