Лучшие сервисы защиты сайта: WordPress, SSL и подпись кода

Как выбрать сервис защиты сайта

Решения для безопасности закрывают разные задачи, поэтому начните с того, что именно вы защищаете и чего опасаетесь.

• Что вы защищаете. Сайту на WordPress нужен сканер и файрвол в виде плагина. Корпоративному сайту, приложению или установщику нужны сертификаты. Иногда нужно и то и другое.
• Обнаружить или вылечить. Многие инструменты лишь сообщают о найденном вредоносном коде. Уточните, входит ли очистка в тариф или продаётся отдельно: от этого зависит, во сколько времени и денег вам обойдётся взлом.
• Частота проверок. Проверки раз в неделю, раз в сутки, каждые 12 часов или каждый час находят заражение с разной скоростью. Магазину, который принимает платежи, нужны более частые проверки, чем личному блогу.
• Где выполняется работа. Сканирование на серверах провайдера не нагружает ваш хостинг; инструменты, которые сканируют внутри сайта, могут его замедлять.
• Поведение файрвола. Хороший файрвол блокирует вредные запросы, а не просто записывает их в журнал, и позволяет закрыть доступ из нежелательных стран или для ботов.
• Уровень проверки сертификата. Проверка домена (DV) подтверждает контроль над доменом, проверка организации (OV) дополнительно проверяет компанию, расширенная проверка (EV) самая тщательная. Чем выше уровень, тем дольше выпуск.
• Охват. Посчитайте домены, поддомены и сайты. Wildcard- или мультидоменный сертификат, а также план защиты на пять сайтов обычно дешевле, чем несколько отдельных покупок.
• Автоматизация и продление. Срок жизни сертификатов сокращается, поэтому поддержка автоматического выпуска и продления (ACME) заметно экономит время.
• Поддержка и возврат. До оплаты посмотрите время ответа, чёткий срок возврата и исключения из него.

Лучший сервис для защиты WordPress от вредоносного кода

MalCare подойдёт, если ваш сайт работает на WordPress и вы хотите получить сканирование, очистку и файрвол в одном сервисе. Он проверяет файлы, таблицы базы данных и запланированные задачи на собственных серверах, а не на вашем хостинге, а платные тарифы Repair и Fortify удаляют вредоносный код в один клик: сначала делают резервную копию, затем повторно сканируют сайт и подтверждают, что он чист.

Подойдёт он и тем, кто пока не готов платить. Тариф Free не требует банковской карты и включает еженедельное сканирование, базовый файрвол, защиту входа, оповещения об уязвимостях, мониторинг SSL и 2FA для 2 администраторов. Он находит вредоносный код, но не удаляет его. Если позже понадобится очистка, тариф Repair стоит от 299 $ в год за один сайт, а Protect за 99 $ в год добавляет продвинутый файрвол, виртуальные патчи, блокировку по странам и защиту от ботов, но без очистки.

Агентствам и фрилансерам MalCare позволяет назначать разные тарифы разным сайтам в одном аккаунте, а агентства с 10 и более сайтами могут запросить специальные цены. Полные тарифы и условия возврата читайте в обзоре MalCare.

Лучший сервис для SSL-сертификатов и подписи кода

SSL.com — удостоверяющий центр, и он подходит тем, кому нужно доверие на уровне сертификатов, а не сканер сайта. Линейка TLS/SSL начинается от 36,75 $ в год за базовый DV-сертификат и идёт через OV-сертификаты High Assurance и Premium к Wildcard и Enterprise EV, так что уровень проверки можно подобрать под сайт. Поддержка ACME для автоматического выпуска и продления входит в набор, а это важно теперь, когда максимальный срок действия сертификата составляет 200 дней.

Сервис хорошо подходит и разработчикам. SSL.com продаёт сертификаты подписи кода IV, OV, EV и Sole Proprietor, а сервис eSigner хранит закрытый ключ в облачном HSM, поэтому подписывать можно из GitHub Actions, Jenkins, Azure DevOps или GitLab CI без покупки аппаратного токена. Кроме того, в каталоге есть сертификаты S/MIME для почты, подпись документов и управляемая PKI. Полный список продуктов — в обзоре SSL.com.

Какой сервис для какой задачи

Два сервиса на этой странице не конкурируют: они закрывают разные уровни безопасности.

Сайт на WordPress, принимающий платежи, вполне может использовать оба: плагин безопасности, который следит за заражениями, и сертификат, подтверждающий, что сайт именно тот, за кого себя выдаёт.

Как формируются цены на защиту сайта

Цена зависит от типа продукта.

Плагины безопасности обычно имеют бесплатный уровень, а дальше тарифы растут по уровню защиты и числу сайтов. MalCare, например, выставляет счета раз в год в долларах США и оценивает платные тарифы для 1 или 5 сайтов: Protect стоит 99 или 299 $ в год, Repair — 299 или 899 $, Fortify — 499 или 1 499 $. Между уровнями меняются в основном частота сканирования, наличие очистки от вредоносного кода и скорость реакции экспертов.

Сертификаты оцениваются за год по уровню проверки и охвату. SSL.com указывает TLS/SSL-сертификаты от 36,75 $ в год за односайтовый DV, 48,40 $ за High Assurance OV, 74,25 $ за Premium на три домена, 224,25 $ за Wildcard и 239,50 $ за Enterprise EV. Гарантийное покрытие растёт вместе с уровнем: от 10 000 $ у Basic до 1 750 000 $ у Enterprise EV. Сертификаты подписи кода и S/MIME оцениваются отдельно, поэтому смотрите страницу продукта.

Две привычки экономят деньги в обеих категориях: покупайте покрытие для нескольких сайтов или доменов, если у вас несколько проектов, и используйте бесплатный уровень или срок возврата, чтобы убедиться, что сервис вам подходит, прежде чем платить сразу за год.

Безопасность, проверка и условия возврата

Несколько моментов, которые стоит учесть перед покупкой:

• Очистка есть не всегда. В плагине с несколькими тарифами бесплатный или начальный тариф может находить вредоносный код, но не удалять его. Возврат в MalCare также недоступен, если в течение срока возврата сервис уже очистил ваш сайт от вредоносного кода.
• Проверка занимает время. DV-сертификаты обычно выпускаются за считанные минуты, OV — за 1–3 рабочих дня, EV — за 1–5. Заказывайте заранее, до запуска сайта или даты окончания срока действия.
• Берегите ключи подписи. Закрытые ключи подписи кода нельзя экспортировать: они хранятся на аппаратном токене с валидацией FIPS или в облачном HSM.
• Читайте условия возврата. SSL.com описывает 30-дневную гарантию возврата денег на цифровые сертификаты с условиями, а аппаратные токены возврату не подлежат. MalCare предлагает 14-дневный срок возврата.