Безопасность интернет-магазина
Интернет-магазин — привлекательная цель для злоумышленников. Здесь проходят деньги, хранятся персональные данные покупателей, есть постоянный трафик. Атаки на магазины — не редкость: DDoS-атаки в дни распродаж, боты, скупающие товары по акциям, мошеннические заказы с украденных карт, попытки взлома админки.
Хорошая новость: большинство угроз можно предотвратить. Современные методы защиты — SSL, WAF, антифрод, защита от ботов — работают без ущерба для удобства покупателей. В этой статье — разбор безопасности интернет-магазина: от чего защищаться, какие инструменты использовать, как соблюсти требования PCI DSS и 152-ФЗ. Если нужно разместить магазин на защищённом сервере — поможем.
📋 Содержание статьи
Угрозы для магазина
Интернет-магазины сталкиваются с несколькими типами угроз. Каждая требует своих мер защиты.
DDoS-атаки
Массовые запросы, которые перегружают сервер и делают магазин недоступным. Особенно опасны в дни распродаж.
Боты
Автоматизированный сбор данных, скупание товаров по акциям, накрутка кликов, перебор паролей.
Мошеннические заказы
Заказы с украденных карт, chargeback-мошенничество, поддельные данные покупателей.
Взлом и утечки
SQL-инъекции, XSS, попытки взлома админки. Цель — кража данных покупателей или денег.
Вредоносные скрипты
Внедрение сторонних скриптов на checkout для кражи платёжных данных покупателей.
Штрафы и блокировки
Нарушение 152-ФЗ, PCI DSS. Штрафы достигают миллионов рублей, вплоть до оборотных.
Защита от DDoS
DDoS-атаки на интернет-магазины особенно опасны в дни распродаж. Если магазин недоступен в Чёрную пятницу — это прямые потери выручки.
Как защищаться
- CDN с защитой: Cloudflare и другие CDN имеют встроенную защиту от DDoS, включённую по умолчанию;
- Anycast: атака распределяется по множеству серверов, не концентрируясь на одном;
- Фильтрация на edge: вредоносный трафик отсекается на границе сети CDN;
- Скрытие IP: реальный IP сервера не виден атакующим;
- Автоматическая митигация: защита срабатывает без участия администратора.
Что даёт
- Магазин доступен: покупатели могут оформлять заказы даже под атакой;
- Сервер защищён: нагрузка не доходит до origin;
- Нет простоя: атака не влияет на выручку.
Защита от ботов
Боты — серьёзная проблема для интернет-магазинов. На ботов приходится более половины мирового интернет-трафика, и значительная часть этой активности связана с вредоносными сценариями.
Что делают боты
- Сбор данных: массово выгружают информацию о товарах и ценах, искажают аналитику;
- Скупание товаров: автоматически выкупают товары по акциям, оставляя покупателей ни с чем;
- Накрутка кликов: создают фиктивные клики по рекламе, съедая бюджет;
- Перебор паролей: автоматические попытки подбора логинов и паролей (credential stuffing);
- DDoS-трафик: перегружают сайт автоматическими запросами.
Как защищаться
- ML-детекция ботов: машинное обучение выявляет ботов по поведению;
- Анализ HTTPS-соединения: современные технологии оценивают параметры соединения и вычисляют вероятность бота;
- CAPTCHA/Turnstile: проверка на бота для подозрительных запросов;
- Rate limiting: ограничение запросов от одного IP;
- WAF: блокировка известных ботов и сканеров.
Антифрод
Мошеннические заказы — это прямые потери. Товар уходит, деньги возвращаются через chargeback, а магазин платит комиссии и штрафы.
Признаки мошеннических заказов
- Подозрительные данные: несовпадение имени, адреса, телефона;
- Крупные заказы: необычно большие суммы для этого клиента;
- Спешка: заказ с доставкой «как можно быстрее»;
- Нетипичная география: IP не совпадает с адресом доставки;
- Повторные попытки: несколько неудачных оплат с одной карты.
Что настроить
- 3-D Secure: дополнительная аутентификация держателя карты;
- Antifraud-правила: лимиты по сумме, частоте, географии;
- Velocity checks: контроль частоты заказов с одного IP или карты;
- Black/white lists: блокировка известных мошенников;
- Ручная проверка: для подозрительных заказов.
💡 Важно
Резкий рост оборота без уведомления эквайера может привести к блокировке выплат. Если ожидается рост продаж — предупредите платёжного провайдера заранее.
SSL и шифрование
SSL — базовый уровень защиты. Без него данные покупателей передаются в открытом виде.
Что важно
- HTTPS только: весь трафик через HTTPS, без исключений;
- Редирект: HTTP автоматически перенаправляется на HTTPS;
- HSTS: заголовок, заставляющий браузер использовать только HTTPS;
- Сертификат: Let's Encrypt или коммерческий, в зависимости от задач.
Что даёт
- Шифрование: данные покупателей защищены от перехвата;
- Доверие: браузеры показывают замок, покупатели доверяют;
- SEO: Google и Яндекс учитывают HTTPS в ранжировании;
- Соответствие PCI DSS: шифрование трафика — требование стандарта.
WAF
WAF (Web Application Firewall) — это файрвол на уровне приложений. Он анализирует HTTP-запросы и блокирует подозрительные.
Что блокирует WAF
- SQL-инъекции: попытки внедрить SQL-код через формы;
- XSS: внедрение JavaScript;
- CSRF: подделка запросов;
- Известные уязвимости: эксплойты для популярных CMS;
- Ботов и сканеры: автоматический перебор уязвимостей.
Как работает
- Правила: обновляемые сигнатуры известных атак;
- Режимы: блокировка или мониторинг;
- Настройка: исключения для легитимных запросов;
- Интеграция: обычно в составе CDN или отдельный сервис.
PCI DSS
PCI DSS — стандарт безопасности платёжных карт. Если магазин принимает карты напрямую, он обязан соответствовать стандарту.
Требования
- Шифрование: передача данных карт только по SSL/TLS;
- Не хранить CVV: код с обратной стороны карты нельзя сохранять;
- 3-D Secure: дополнительная аутентификация;
- Самооценка: ежегодное заполнение SAQ (Self-Assessment Questionnaire);
- Аудит: при больших объёмах — сертификационный аудит;
- ASV-сканирование: ежеквартально при больших объёмах.
Как упростить
- Перенаправление на платёжную страницу: если магазин не обрабатывает данные карт сам, а перенаправляет на страницу провайдера — требования PCI DSS снижаются;
- Платёжный виджет: данные карты вводятся в iframe провайдера, не касаясь сервера магазина;
- Сертифицированный хостинг: некоторые облака аттестованы по PCI DSS.
152-ФЗ
Интернет-магазин собирает персональные данные покупателей: имена, телефоны, email, адреса доставки. Это накладывает требования 152-ФЗ.
Ключевые требования
- Уведомление РКН: если магазин собирает данные — он оператор, обязан уведомить Роскомнадзор;
- Согласие: отдельное согласие на обработку данных, включая cookie для аналитики;
- Локализация: база данных покупателей должна храниться в РФ;
- Политика конфиденциальности: обязательна на сайте;
- Уведомление об утечках: в течение 24 часов.
Штрафы
- Отсутствие уведомления РКН: до 300 000 ₽;
- Нарушение локализации: до 18 млн ₽;
- Утечка: от 3 млн до 500 млн ₽ (оборотные штрафы);
- Отсутствие согласия: до 700 000 ₽.
⚠️ Важно
С 2026 года Роскомнадзор автоматически мониторит сайты на предмет сбора персональных данных. Если у магазина есть форма заявки, регистрация или онлайн-запись — он обязан быть в реестре операторов.
Наши рекомендации
📌 Что вы получаете, заказывая защиту магазина у нас
- SSL — HTTPS с автопродлением
- WAF — защита от SQL-инъекций, XSS
- Защиту от DDoS — через CDN
- Защиту от ботов — ML-детекция, CAPTCHA
- Антифрод — 3-D Secure, правила
- Соответствие PCI DSS и 152-ФЗ
📌 Итоговый вывод
Безопасность интернет-магазина — это защита выручки, данных покупателей и репутации.
Что нужно знать:
- Угрозы — DDoS, боты, мошенничество, взлом, вредоносные скрипты
- DDoS — CDN с защитой, Anycast, фильтрация на edge
- Боты — ML-детекция, анализ HTTPS, CAPTCHA, rate limiting
- Антифрод — 3-D Secure, правила, velocity checks
- SSL — HTTPS обязателен, HSTS
- WAF — защита от SQL-инъекций, XSS, ботов
- PCI DSS — шифрование, 3DS, SAQ, аудит
- 152-ФЗ — уведомление РКН, локализация в РФ, согласие, штрафы
Хотите защитить магазин? Закажите консультацию в Lead Hub.
Также рекомендуем: как выбрать хостинг для магазина, пиковые нагрузки, интеграция с 1С, кеширование, ошибки при выборе, хостинг для интернет-магазинов.