SEO-руководство, шаг 7: Безопасность

Это Шаг 7 из Руководства по SEO из 13 шагов. Проблемы безопасности разрушают ранжирование и доверие пользователей.

---

HTTPS — это минимум. В 2026 году Google ожидает комплексный подход к безопасности: правильные заголовки, защиту от инъекций, безопасные cookie и актуальные сертификаты. Небезопасный сайт теряет позиции и получает предупреждения в браузере.

1. SSL/TLS-конфигурация

Минимальные требования

Параметр	Требование	Проверка
Протокол	TLS 1.2+ (лучше 1.3)	SSL Labs
Сертификат	Действительный, не истёкший	Дата истечения
Цепочка	Полная цепочка сертификатов	SSL Labs
Редирект	HTTP → HTTPS (301)	Браузер
Mixed content	Нет HTTP-ресурсов на HTTPS-странице	DevTools

Проверка SSL

# Проверить дату истечения
openssl s_client -connect example.com:443 2>/dev/null | openssl x509 -noout -dates

# Проверить протоколы
nmap --script ssl-enum-ciphers -p 443 example.com

2. Заголовки безопасности

Каждый из этих заголовков защищает пользователей и улучшает оценку безопасности:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()
Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline'

Влияние на SEO

Заголовок	SEO-влияние	Сложность
HSTS	Высокое — ускоряет HTTPS	Простой
X-Content-Type-Options	Среднее	Простой
X-Frame-Options	Среднее — защита от кликджекинга	Простой
CSP	Высокое — защита от XSS	Сложный
Permissions-Policy	Низкое	Средний
Referrer-Policy	Низкое	Простой

3. Content Security Policy (CSP)

CSP определяет, откуда браузер может загружать ресурсы:

Content-Security-Policy:
  default-src 'self';
  script-src 'self' https://cdn.example.com;
  style-src 'self' 'unsafe-inline';
  img-src 'self' data: https:;
  font-src 'self' https://fonts.googleapis.com;
  connect-src 'self' https://api.example.com;

Пошаговое внедрение

1. Начните с Content-Security-Policy-Report-Only (только отчёты)
2. Мониторьте нарушения через report-uri
3. Исправьте все нарушения
4. Переключите на enforce-режим

4. HSTS и preload

HSTS (HTTP Strict Transport Security) гарантирует, что браузер всегда использует HTTPS:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Регистрация в HSTS Preload List

1. Убедитесь, что HSTS работает корректно
2. Добавьте preload в заголовок
3. Зарегистрируйте домен на hstspreload.org
4. После добавления — браузеры ВСЕГДА будут использовать HTTPS

Важно: Отмена preload занимает месяцы. Убедитесь, что весь сайт работает по HTTPS.

5. Защита cookie

Set-Cookie: session=abc123;
  Secure;
  HttpOnly;
  SameSite=Strict;
  Path=/;
  Max-Age=86400

Атрибут	Защита от
Secure	Перехвата по HTTP
HttpOnly	Кражи через JavaScript (XSS)
SameSite=Strict	CSRF-атак
Path=/	Доступа из других путей

6. Сканирование уязвимостей

Что проверять регулярно

• Устаревшие CMS и плагины
• Открытые admin-панели
• Утечки конфиденциальных файлов (.env, .git)
• SQL-инъекции и XSS
• Устаревшие JavaScript-библиотеки

Типичные проблемы

Проблема	Риск	Решение
Устаревший WordPress	Критический	Автообновления
Открытый wp-admin	Высокий	IP-ограничение + 2FA
.env в корне	Критический	Deny в .htaccess
HTTP-формы на HTTPS	Средний	Обновить action URL
Старые JS-библиотеки	Средний	npm audit + обновление

7. Последствия взлома для SEO

Если сайт взломан, последствия катастрофические:

• Google помечает сайт как опасный
• Рейтинг падает до нуля
• Восстановление занимает 2-6 месяцев
• Потеря ссылочной массы
• Ущерб репутации бренда

Быстрый чек-лист

• [ ] SSL-сертификат действителен и TLS 1.2+
• [ ] Все HTTP-запросы перенаправляются на HTTPS (301)
• [ ] HSTS заголовок настроен (min max-age=31536000)
• [ ] Нет mixed content (HTTP-ресурсов на HTTPS-странице)
• [ ] X-Content-Type-Options: nosniff настроен
• [ ] X-Frame-Options настроен
• [ ] CSP настроен (хотя бы базовый)
• [ ] Cookie имеют Secure + HttpOnly + SameSite
• [ ] Нет доступных .env, .git или backup-файлов
• [ ] CMS и плагины обновлены до последних версий

---

Следующий шаг: Шаг 8: AI-видимость — как оптимизировать для AI-поисковиков.

Запустите бесплатный SEO-аудит и проверьте безопасность вашего сайта.