В день запуска сайт кажется готовым. Но всё, на чём он держится, постоянно меняется: версия PHP, система управления, плагины, сертификат. Месяцами ничего заметного не происходит. А потом однажды утром браузер вместо главной страницы показывает красное предупреждение, или кто-то замечает, что форма обратной связи уже три недели не отправила ни одного сообщения.
Обслуживание сайта и есть та скучная регулярная работа, благодаря которой таких сюрпризов не бывает.
Что меняется под сайтом, которым никто не занимается
PHP теряет поддержку. Каждая версия PHP получает исправления безопасности только определённое время. По данным php.net, PHP 8.2 получает их до 31 декабря 2026 года, а PHP 8.1 и более старые версии уже не получают ничего. Сайт, который спокойно работает на 8.1, на деле работает на программе, которую никто больше не исправляет.
В плагинах копятся уязвимости. Patchstack насчитал 11 334 новые уязвимости в экосистеме WordPress за 2025 год: 91% в плагинах, 9% в темах и всего шесть в самом WordPress, все незначительные. По умолчанию WordPress сам обновляет своё ядро, а плагины и темы только в особых случаях. Получается, что именно та часть, где почти все уязвимости, ждёт, пока кто-нибудь нажмёт «обновить».
Сертификаты истекают всё быстрее. С 15 марта 2026 года публичный HTTPS-сертификат может действовать не дольше 200 дней. CA/Browser Forum решил, что в марте 2027 года предел сократится до 100 дней, а в марте 2029 года до 47. Let's Encrypt, центр сертификации, который выдаёт бесплатные сертификаты многим небольшим сайтам, к 2028 году переходит с 90 на 45 дней и не советует продлевать сертификаты вручную. Продление должно идти автоматически, а кто-то должен узнать, если оно не удалось.
OWASP, чей список Top 10 считается привычным ориентиром по рискам веб-приложений, в редакции 2025 года пишет прямо: если программа не поддерживается или устарела, она, скорее всего, уязвима.
Свежий пример: PHP, 21 октября
21 октября 2026 года команда PHP выпустила версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они закрывают две критические уязвимости, CVE-2026-109618 и CVE-2026-109619, через которые посторонний может выполнить код на сервере без учётной записи и без пароля. Команда PHP отметила, что надёжно защититься можно только обновлением.
Если за сайтом кто-то следит, это было обычное обновление на той же неделе. Если нет, сначала придётся выяснить, знает ли вообще кто-нибудь, на какой версии PHP работает сайт. На 8.1 и более старых версиях устанавливать нечего: команда PHP для них исправлений больше не выпускает, так что остаётся только переход на новую версию.
Что входит в обслуживание
Детали зависят от сайта, но разумный ежемесячный план работ выглядит примерно так:
- Обновления: PHP, система управления, плагины и темы, каждое после резервной копии и с проверкой, что сайт после этого работает.
- Резервные копии: ежедневные, хранятся вне сервера, время от времени восстановление проверяют на практике. Как это устроить, мы рассказали в статье о правиле 3-2-1.
- Мониторинг: сайт доступен, сертификат продлевается вовремя, форма обратной связи действительно доставляет сообщения.
- Проверки безопасности и почты: заголовки безопасности, DNS-записи, а также записи SPF, DKIM и DMARC, от которых зависит, попадут ли письма компании в спам (об этом наша статья о том, почему письма компании попадают в спам).
- Продления: домен и хостинг, с записанными датами и действующей платёжной картой.
- Небольшие правки: новый номер телефона, часы работы, цены, фотографии.
- Человек, который ответит, когда что-то перестало работать.
Что бывает, когда сайтом никто не занимается
В первый же день ничего из этого не случается. Проблемы накапливаются и обычно дают о себе знать одним из таких способов:
- Истекает сертификат. Вместо сайта браузер показывает предупреждение на всю страницу, и многие посетители просто уходят.
- Форма замолкает. На сервере меняется настройка почты, сообщения перестают приходить, и никто этого не замечает, пока клиент не позвонит и не спросит, почему ему не ответили.
- Сайт падает после обновления сервера. Когда хостинг отказывается от старой версии PHP, старая тема или плагин могут перестать работать, и посетители видят страницу с ошибкой.
- Сайт взламывают. Злоумышленники добавляют страницы со спамом или перенаправляют посетителей на чужие сайты. Тогда Google может показать в результатах поиска рядом с сайтом пометку о том, что сайт, возможно, взломан, и советует не открывать его, пока предупреждение не исчезнет. Google снимает пометку только после того, как владелец очистит сайт и запросит повторную проверку. Patchstack измерил и то, как быстро приходят атаки: для самых эксплуатируемых уязвимостей взвешенная медиана до первой атаки составила пять часов.
- Нет резервной копии, к которой можно вернуться. Или она есть, годичной давности, и никто не знает пароля.
Проверьте свой сайт за десять минут
- Откройте сайт, нажмите на значок слева от адреса и посмотрите, до какого числа действует сертификат.
- Отправьте себе сообщение через форму обратной связи и проверьте, дошло ли оно.
- Задайте тому, кто занимается сайтом, три вопроса: на какой версии PHP он работает, когда последний раз обновлялись плагины и где лежат резервные копии?
- Узнайте, когда истекает домен и кому приходят напоминания о продлении.
Если ответить некому, значит, сайтом никто не занимается. Лучше узнать это сегодня, чем утром, когда браузер покажет красное предупреждение.
Обновления, резервные копии, мониторинг и мелкие исправления по ходу дела входят в наши тарифы поддержки и сопровождения, их можно посмотреть на странице услуги. Мы также принимаем старые сайты: переносим их с хостинга, за которым никто не следит, чиним сертификат и обновляем старую систему управления. Если хотите, чтобы мы посмотрели на ваш сайт в его нынешнем виде, напишите нам.