Одного ранку, який навіть дехто з жайворонків сміливо би назвав ще ніччю, мене розбудив дзвінок колишньої клієнтки. З нею ми не працювали більше року, тому стало цікаво, що могло статися у людини в таку годину. Виявляється, зникли кошти в кабінеті Meta Ads.
І проблема була спільна, адже наш Meta Business Manager досі мав доступ до її облікового запису Meta Ads, я відкрив кабінет і побачив, що гроші зникали прямо, як в кіно показують: у реальному часі в кабінеті з наших та клієнтських акаунтів. Можна подумати, що ми погано захистилися і, можливо, це так, але втім це може трапитися з будь-ким, тому варто прочитати цей матеріал. А цю історію з майже щасливим кінцем я розповім в самій статті.
У статті зібрана добірка практик з кібербезпеки для малого та середнього бізнесу. Чому саме вони? Великі компанії зазвичай мають власні юридичні та IT-відділи, які займаються питаннями безпеки. Але навіть у них є свої нюанси. Ми ж зосередимося на тому, як захистити дані, доступи та інші важливі елементи у компаніях, які не мають розширених ресурсів для цього.
Що захищати в першу чергу
- Домен, хостинг, база даних.
- Що варто знати про інформацію, яка опинилася у відкритому доступі?
- Як перевірити, які дані компанії вже є у відкритому доступі?
- Які доступи ніколи не варто передавати стороннім особам?
- Профіль Google My Business.
- Корпоративна пошта, SSL, DMARC.
- Чому платні рішення більш безпечні?
- Які ризики використання безкоштовних поштових сервісів для бізнесу?
- Адмін-панель.
- Як правильно організувати рівні доступу?
- Які заходи безпеки необхідно впровадити?
- Meta Business Manager, Facebook, Instagram.
- Як захистити рекламні акаунти від злому?
- Які налаштування безпеки є критично важливими?
Захист домену
Спочатку розглянемо, яку інформацію про вас можна знайти в інтернеті, які помилки трапляються найчастіше та що робити, щоб уникнути проблем. Поділюся також реальними кейсами з практики.
Наприклад, за останній рік до нас, як до маркетингової агенції, зверталися власники восьми сайтів. У п’яти з них були проблеми з доступами до домену, і це серйозний нюанс. У деяких випадках нам вдалося допомогти — відновити домен, перенести хостинг та налагодити всю інфраструктуру. Хоча ми займаємося маркетингом, бувають ситуації, коли без цього клієнт просто не може запустити рекламу.
Домен — це обличчя компанії в інтернеті. Це ваш сайт, ваша цифрова адреса. Втративши контроль над доменом, ви втрачаєте і бізнесову присутність в мережі.
Як це працює? Домен і хостинг — це дві окремі речі. Хостинг можна змінювати хоч щороку, а ось домен залишається незмінним. Саме він визначає, куди спрямовується ваш сайт, ваша пошта, ваша онлайн-інфраструктура. Якщо домен недоступний — ви просто не можете вказати, де знаходиться ваш сайт.
Типові проблеми з доменами
- Втрачений доступ. Домен зареєстрував не власник бізнесу, а, наприклад, знайомий, технічний спеціаліст чи підрядник. Через кілька років цей доступ губиться, і відновити його вже неможливо.
- Закінчення терміну реєстрації. Домен часто оплачують одразу на кілька років — два, три, п’ять. А коли термін добігає кінця, про це просто забувають. Якщо його вчасно не продовжити, хтось інший може викупити вашу адресу.
- Зміна власника бізнесу або команди. Бізнес може продаватися, керівництво або відповідальні особи змінюються, а доступи до домену при цьому не передаються. Як результат — компанія втрачає сайт.
- Відсутність резервного доступу. Якщо акаунт на сервісі реєстрації домену блокується, зламується чи губиться логін, може виявитися, що резервних контактів або резервного доступу просто немає.
Як уникнути проблем?
- Завжди реєструйте домен на власника бізнесу або на офіційну корпоративну та особисту пошту, а не на приватні акаунти фрилансерів чи знайомих.
- Слідкуйте за термінами продовження — найкраще виставити автоподовження або нагадування про оплату.
- Зберігайте доступи у безпечному місці та не передавайте їх стороннім без нагальної потреби.
- Перевіряйте актуальність контактної інформації у реєстратора домену, щоб у разі проблем змогти швидко відновити доступ.
- Обмежуйте доступ до панелі управління доменом, залишаючи його тільки тим, хто дійсно має працювати з ним.
Домен для бізнесу — це те ж саме, що ключі від офісу чи складу. Ви ж не роздаєте їх будь-кому? Так само і з цифровою власністю: важливо завжди тримати контроль у своїх руках.
Типові помилки при роботі з доменами
Одна із найрозповсюдженіших проблем — це безсистемне зберігання всіх доступів в одному місці. У малого бізнесу часто так і буває: директор чи менеджер складає всі логіни та паролі в один файл, найчастіше — у велику Excel-таблицю. І туди ж заносяться доступи до домену, хостингу, бази даних, FTP, адміністраторських панелей, соцмереж, рекламних кабінетів, email-сервісів — усе разом. Це зручно, але ризики величезні.
Різні спеціалісти повинні мати різні рівні доступу. Наприклад, SEO-фахівцям, PPC-спеціалістам або маркетологам взагалі не потрібен доступ до доменного реєстратора. Їм достатньо, якщо айтівець або адміністратор може внести потрібні зміни, як встановить Google Tag Manager. Тому передача всіх доступів поспіль — це величезна помилка, яка може призвести до втрати контролю над ключовими ресурсами.
Ще одна проблема — це делегування реєстрації домену стороннім людям. Часто це виглядає так: директор каже підлеглому чи підряднику «Іди зареєструй домен» і навіть не перевіряє, на кого він оформлений. А потім виявляється, що:
- домен зареєстровано на особисту пошту співробітника, а не на корпоративну;
- домен оформлено на вебстудію або на фізичну особу, яка більше не працює з компанією;
- у критичний момент доступ до домену відновити неможливо, бо контактні дані реєстранта недоступні.
Це не теоретична ситуація, а реальні кейси. Наприклад, була вебстудія, яка створила для своїх клієнтів п’ять сайтів. Вона зареєструвала домени на директора студії, а не на клієнтів. Після того, як студія припинила свою діяльність, а її власник виїхав з країни, клієнти просто втратили свої сайти. Доки домени були оплачені, ніхто не хвилювався, але після закінчення терміну реєстрації вони всі «зникли» з мережі.
Як правильно реєструвати домен?
Щоб уникнути таких проблем, дотримуйтесь кількох простих правил:
- Реєструйте домен тільки на власника бізнесу або партнера — це має бути особа, яка гарантовано буде в компанії протягом усього часу її існування.
- Використовуйте робочу, постійно активну пошту — а не тимчасову адресу, яку ви забудете через кілька років.
- Обирайте надійного реєстратора — бажано серед великих міжнародних компаній.
Де краще реєструвати домен?
Існують три основні варіанти:
- Американські реєстратори (GoDaddy, Namecheap тощо) — надійний варіант, оскільки в США питання приватної власності захищене на високому рівні. Також у них простіші процедури відновлення доступу.
- Європейські реєстратори (Gandi, IONOS) — теж хороший варіант, але відновлення доступу може бути більш бюрократизованим. У разі проблеми доведеться надсилати документи, що може зайняти більше часу.
- Українські реєстратори (Hosting Ukraine, imena.ua) — підходять для локального бізнесу, але варто пам’ятати, що багато сервісів, які пропонують реєстрацію домену в Україні, є лише посередниками. Наприклад, якщо ви купуєте домен через невеликий хостинг, швидше за все, він просто перепродає його від великого реєстратора.
Якщо не знаєте, де у вас зареєстрований домен, просто загугліть «Whois lookup» і перевірте, який сервіс його обслуговує.
Ще кілька важливих помилок
Навіть якщо ви зареєстрували домен правильно, є інші ризики, які варто враховувати:
- Неконтрольоване ділення доступів. Буває, що директор зареєстрував домен на себе, але потім почав роздавати паролі всім підряд: маркетологам, програмістам, фрилансерам. У підсумку, якщо хтось щось змінить або зробить помилку, навіть неможливо буде визначити, хто саме це зробив.
- Відсутність двофакторної автентифікації. Доступ до панелі реєстрації домену потрібно захищати двофакторкою. Найкращий варіант — не SMS, а Google Authenticator або інший застосунок, тому що SMS можуть не доходити вчасно.
- Реєстрація домену на корпоративну пошту без резервних контактів. Якщо домен зареєстрований на email виду [email protected], але цей домен втрачено, відновити доступ буде проблематично. Завжди додавайте резервну пошту, яку ви контролюєте особисто.
- Спам і шахрайство. Директори компаній часто отримують фейкові листи на кшталт: «Ваш домен скоро буде видалено, сплатіть терміново». Перевіряйте такі повідомлення та не ведіться на маніпуляції.
- Купівля домену через маловідомих реселерів. Деякі хостинги пропонують акції: «Купіть хостинг — отримайте домен у подарунок». Але часто такий домен насправді залишається під контролем хостинг-провайдера, і якщо ви захочете змінити платформу, виникнуть проблеми.
- Забута оплата. На щастя, зараз більшість реєстраторів дає 30 днів пільгового періоду після закінчення терміну реєстрації. Але якщо ви не встигнете оплатити вчасно, домен може потрапити на аукціон і його викупить хтось інший. Щоб не забути, варто додати дату закінчення в календар або налаштувати автоподовження.
Як знайти, де саме зареєстрований домен
Є багато сервісів, які дозволяють перевірити реєстраційні дані домену. Це поняття називається Whois. Якщо загуглити Whois lookup, пошуковик видасть десятки сайтів, які надають цю інформацію.
Проте варто розуміти, що Whois сам по собі не є основним джерелом даних — він просто зручно відображає інформацію, яка зберігається в ICANN (Internet Corporation for Assigned Names and Numbers). Це міжнародна некомерційна організація, яка керує системою доменних імен, вирішує питання щодо нових доменних зон і встановлює загальні правила реєстрації.
Чому важливо знати, хто ваш реєстратор? Іноді трапляються випадки, коли компанія втрачає доступ до домену. Якщо він був зареєстрований на фізичну особу, а документи на право власності є, теоретично можна спробувати відновити його через ICANN. Проте ця процедура складна і може зайняти 2–3 роки. Для бізнесу це критично довго — за цей час компанія без сайту може просто перестати існувати.
Тому найкращий спосіб уникнути проблеми — перевірити, де саме зареєстрований ваш домен, поки він ще працює, і завчасно відновити контроль над ним.
Що можна дізнатися через Whois?
Якщо ввести домен у сервісі Whois, у результатах можна знайти кілька важливих пунктів:
- Реєстратор домену. Це компанія, через яку було здійснено реєстрацію. Наприклад, якщо там написано GoDaddy, Namecheap або інший великий сервіс, ви вже знаєте, куди звертатися.
- Дата закінчення реєстрації (Expiration Date). Тут вказано, до якого часу домен оплачений. Наприклад, якщо вказано до 2027 року, це означає, що він зареєстрований наперед на 8 років. Але питання в тому, хто саме робив цю оплату і чи зможе передати доступ у майбутньому.
- Дата останнього продовження (Updated Date). Якщо домен оплачували давно, а відповідальна особа змінилася, варто переконатися, що всі доступи до реєстратора оновлені.
- Name Servers (NS-записи). Це сервери, які керують доменом і визначають, куди він спрямовує користувачів. Це важливо, якщо ви плануєте змінювати хостинг або налаштовувати резервні рішення.
Що робити, якщо ви не знаєте, у кого зареєстрований домен?
Якщо ваш сайт працює, але ви не знаєте, хто має доступ до доменного реєстратора, діяти потрібно прямо зараз, поки сайт ще онлайн:
- Використати Whois-сервіс і знайти реєстратора.
- Написати в підтримку реєстратора з проханням допомогти відновити доступ.
- Підготувати документи: підтвердження власності компанії, рахунки за домен, дані про сайт (наприклад, скриншоти з адмінки).
- Знайти в Google інструкцію від вашого реєстратора. Наприклад, якщо ваш домен у GoDaddy, можна загуглити «GoDaddy restore domain access» — більшість великих сервісів мають чіткі інструкції з відновлення.
Чим швидше ви це зробите, тим менше шансів, що в майбутньому доведеться вирішувати проблему, коли сайт вже не працює.
Чи можливо відновити доступ до домену, якщо його вкрали?
Це дуже складний процес, який може зайняти місяці. Успішні кейси відновлення є, але вони залежать від низки факторів:
- Якщо домен був зареєстрований у міжнародного реєстратора (наприклад, GoDaddy), компанія може піти назустріч, якщо надати документи, які підтверджують право власності.
- У випадку реєстрації через ICANN можна подати скаргу, але процес може займати 4-5 місяців і не гарантує повернення.
- Якщо домен був зареєстрований на фізичну особу, яка більше не співпрацює з компанією, довести право власності буде майже неможливо.
Головне: щоб не доводилося відновлювати, захистіть домен заздалегідь. Реєструйте його на офіційний email директора з обов’язковою двофакторною автентифікацією.
Захист хостингу
Хостинг — це, грубо кажучи, сервер або комп’ютер, на якому фізично розміщено ваш сайт. Він може бути хмарним або традиційним.
- Хмарні хостинги (наприклад, Shopify, Wix, Webflow) працюють за принципом SaaS (Software as a Service). Власник сайту не має прямого доступу до коду, що, з одного боку, зручно, оскільки вся технічна підтримка і безпека забезпечуються платформою. З іншого боку, якщо потрібно щось змінити «під капотом», можливості будуть обмежені.
- Класичні хостинги (наприклад, для WordPress, Magento, PrestaShop) вимагають більше технічного контролю. Вони дозволяють гнучке налаштування, але вимагають уважності у питаннях безпеки та адміністрування.
Якщо сайт розміщений на хмарному хостингу, вам, як власнику бізнесу, потрібно менше перейматися технічними деталями. Але якщо у вас самостійно налаштований сайт на традиційному хостингу, є ризик втратити доступ або допустити критичні помилки.
Чому хостинг не працює
У більшості випадків власники бізнесу дізнаються про проблему із хостингом випадково — коли сайт уже «лежить». Це може статися через кілька годин або навіть кілька днів після того, як закінчилася оплата чи виникла технічна проблема.
- банальна забута оплата — гроші на картці закінчилися, рахунок не поповнили, автоплатіж не пройшов;
- технічні обмеження банківських карт (наприклад, якщо картка українська, а хостинг — американський, транзакція може бути відхилена);
- перевищення лімітів — наприклад, якщо трафік сайту різко виріс, хостинг може вимагати оновлення тарифу, і поки це не зроблено, сайт буде недоступний.
Тому варто тримати на балансі хостингу запас коштів та налаштувати нагадування про продовження, щоб не опинитися в ситуації, коли сайт несподівано перестає працювати.
Основні помилки при роботі з хостингом
- Збереження всіх доступів в одній Excel-таблиці. Це стосується не тільки хостингу, а й усіх важливих сервісів. Якщо файл потрапить у чужі руки або хтось випадково втратить доступ, відновити контроль буде складно.
- Один пароль на всі сервіси. Часто хостинг, FTP, база даних і CMS мають однаковий пароль. Це величезна помилка, оскільки, якщо його дізнається хакер або навіть ваш колишній співробітник, він отримає повний контроль над сайтом.
- Збереження сторонніх контактних даних. При реєстрації хостингу часто вказують дані розробника, айтівця або будь-кого, хто допомагав налаштовувати сайт. У підсумку, якщо доступ втрачено, а цей спеціаліст уже не працює з вами, можуть виникнути проблеми з відновленням.
- Відсутність контролю за оплатами. Сайт може перестати працювати через те, що рахунок просто не продовжили вчасно. Іноді власники бізнесу навіть не знають, хто платить за хостинг, а коли проблема виникає, починається хаос: «А хто взагалі відповідав за оплату?».
- Неправильний розподіл доступів. У хостингів є три важливі рівні доступу:
- Доступ до самої панелі хостингу (де можна змінювати налаштування сервера, видаляти сайти тощо).
- Доступ до FTP (файлова система, через яку можна змінювати файли сайту).
- Доступ до бази даних (PHPMyAdmin), де зберігається весь контент, паролі користувачів, замовлення тощо.
- Якщо, наприклад, у вас кілька сайтів на одному хостингу, важливо видавати лише обмежені доступи для кожного окремого розробника. Якщо програмісту потрібен доступ лише до файлів сайту — даємо доступ до FTP, але не даємо повний доступ до бази даних.
Якщо ви змінили підрядника: план дій
Якщо ви змінюєте компанію чи спеціаліста, який працює над вашим сайтом, треба зробити це:
- Змінити всі паролі. Просто змінити пароль до хостингу недостатньо, потрібно оновити доступ до FTP, бази даних і PHPMyAdmin.
- Переконатися, що ви маєте повний контроль. Якщо сайт створювався підрядником, потрібно перевірити, що ви маєте всі логіни та паролі. Бувають ситуації, коли власник бізнесу дізнається, що його сайт взагалі належить не йому, а розробнику.
- Налаштувати резервне копіювання. У більшості хостингів можна налаштувати автоматичне створення бекапів. Це важливо, щоб у разі збоїв можна було швидко відновити сайт.
- Встановити двофакторну автентифікацію. Як і у випадку з доменом, варто підключити додатковий рівень безпеки, використовуючи Google Authenticator або інші сервіси для двофакторної автентифікації.
Як знайти, де саме зареєстрований хостинг
Є кілька способів дізнатися, який саме хостинг використовується для сайту.
Whois та аналіз неймсерверів
Ті ж самі сервіси, що показують дані про домен, зазвичай відображають і неймсервери (NS-записи). За ними можна зрозуміти, де саме розміщений сайт. Якщо вказані неймсервери відомої компанії, наприклад:
- ns1.siteground.com, ns2.siteground.com — сайт розміщений на SiteGround, популярному хостингу для WordPress.
- ns1.bluehost.com, ns2.bluehost.com — використовується Bluehost.
Якщо NS-записи ведуть на певний хостинг, то ви одразу розумієте, де саме розміщений сайт.
Використання спеціалізованих сервісів
Існують сервіси, які дозволяють отримати більше технічної інформації про сайт. Один із таких сервісів — MxToolbox. Він корисний не тільки для пошуку хостингу, а й для перевірки поштових серверів, DNS-записів та інших технічних даних.
Якщо сайт використовує стандартний хостинг, за допомогою таких інструментів можна побачити, яка платформа використовується. Наприклад, WP Engine або Kinsta часто використовуються для WordPress, а SiteGround популярний серед малого бізнесу в США.
Чи можна дізнатися хостинг, якщо сайт використовує Cloudflare?
Cloudflare — це мережа доставки контенту (CDN) і сервіс безпеки, який приховує реальну IP-адресу сервера. Останнім часом в Україні багато компаній користуються Cloudflare, тому, якщо сайт проходить через цей сервіс, при перевірці ви побачите тільки Cloudflare, а не реальний хостинг.
У такому випадку перевірити хостинг можна тільки двома способами:
- У панелі Cloudflare — якщо у вас є доступ, ви зможете побачити справжню IP-адресу сервера.
- За A-записами — іноді можна знайти IP-адресу сервера, яка використовується для сайту. Далі можна загуглити «What is my hosting by IP», ввести отриманий IP-адрес і знайти компанію, якій він належить.
У бухгалтера чи по платіжній історії
Якщо сайт розміщений на хостингу, за нього хтось платить. Як правило, хостинг оплачується раз на місяць, що значно важче забути, ніж оплату домену раз на кілька років. Якщо ви не знаєте, де знаходиться ваш сайт, перевірте виписки з банку або запитайте у бухгалтера, які платежі проходили на хостинг-провайдерів.
Якщо ви не маєте доступу до хостингу або не знаєте, хто ним управляє, це потрібно терміново вирішити. Хостинг — це фізичне розміщення вашого сайту, і без нього сайт просто не існуватиме. Варто перевірити всі доступи та переконатися, що вони знаходяться під вашим контролем.
Захист корпоративної пошти, SSL, DMARC
Корпоративна пошта — це не просто зручність, а питання безпеки бізнесу. Втрата контролю над нею може призвести до серйозних проблем, особливо якщо всі ключові комунікації, замовлення та клієнтські листи проходять через одну адресу.
Один із реальних кейсів. Бізнес працює в B2B-сегменті, має понад 20 співробітників. Власник не вникає в IT, а маркетолог просто «колись» зареєстрував корпоративну пошту. Все працює, поки не виявляється, що головна скринька компанії ([email protected]) створена на особисту Gmail-адресу фінансового директора, який уже два роки не працює в компанії. Він, на щастя, ще додає нових користувачів, але компанія формально не має контролю над своєю поштою.
Якщо у вас корпоративна пошта, перевірте, хто її реально контролює. Якщо її ще немає, рекомендую її створити. Це не тільки зручно, але й допомагає уникнути ситуацій, коли клієнти не отримують листи через те, що безкоштовні поштові сервіси фільтрують їх як спам.
Google Workspace або Microsoft Outlook 365 — найстабільніші рішення для бізнесу. Мінус один — ціна. Наприклад, Google Workspace коштує близько $6 на місяць за кожного користувача. Але це вирішує більшість проблем із доставкою листів і дає гнучке управління акаунтами.
Ще один важливий момент — пошта для відновлення. Завжди вказуйте особисту пошту власника або директора, щоб у разі проблем мати можливість швидко відновити доступ.
Як перевірити, де розміщена ваша пошта?
Якщо не впевнені, який сервіс використовується, можна перевірити MX-записи. У сервісах типу Whois потрібно вибрати MX і побачити щось на кшталт google.com, zoho.com або outlook.com. Це означає, що пошта працює на Google Workspace, Zoho чи Microsoft Outlook відповідно.
- Якщо запис містить google.com, пошта працює через Google Workspace.
- Якщо zoho.com, компанія використовує Zoho Mail.
- Якщо outlook.com, використовується Microsoft Outlook 365.
Це дозволяє швидко зрозуміти, на якій платформі працює пошта і чи використовує компанія безкоштовний або платний сервіс. В Україні досі є компанії, які користуються безкоштовною поштою на хостингах або навіть поштовими сервісами самих реєстраторів доменів. Це варіант, але з точки зору стабільності та довіри краще використовувати професійні рішення.
Як перевірити SPF, DKIM і DMARC
Одна з поширених помилок — використання корпоративного домену для масових розсилок. Якщо ви відправляєте тисячі листів напряму через корпоративну пошту, частина з них буде автоматично відправлена в спам або взагалі не дійде до адресатів.
Ще одна проблема — відсутність правильних налаштувань SPF, DKIM і DMARC. Ці технології перевіряють, чи дійсно лист відправлений із вашого домену. Якщо їх немає, сервіси типу Gmail або Outlook можуть автоматично блокувати ваші листи. Якщо ваші листи регулярно надходять у спам, варто перевірити налаштування SPF, DKIM і DMARC.
Розсилки краще робити через спеціалізовані сервіси: Mailchimp, SendPulse або аналогічні платформи. Вони мають налаштовані механізми доставки, щоб листи доходили без проблем.
Як перевірити SSL-сертифікат
Ще одна важлива річ — SSL-сертифікат. Він шифрує дані між сайтом і користувачами та буває безкоштовним (Let’s Encrypt) або платним (наприклад, GlobalSign, Comodo).
Дізнатися, який сертифікат у вас, можна, натиснувши на значок замка в браузері та перевіривши «Certificate». Якщо там вказано GlobalSign або Comodo, значить, використовується платний сертифікат, який потрібно буде продовжувати вручну.
Якщо сертифікат закінчується, компанія-реєстратор зазвичай надсилає нагадування на email. Але якщо ця пошта зареєстрована на людину, яка вже не працює в компанії, повідомлення просто загубиться. Як наслідок — сайт перестане працювати, а ви про це дізнаєтеся від клієнтів.
Про те, як вирішили проблему з Meta, та детальніше про захист маркетингових елементів — чекайте наступного тижня.