Главная › Блог › Проверка сайта на вирусы: как владельцу интернет-магазина проверить свой сайт до

Проверка сайта на вирусы: как владельцу интернет-магазина проверить свой сайт до распродаж

20 октября 2026 · 10 мин чтения

Проверка сайта на вирусы идёт в три слоя. Сначала узнайте, что о вашем сайте думают Яндекс и Google: их пометка «опасный сайт» бьёт по трафику сильнее всего. Затем посмотрите на сайт глазами разных посетителей, с телефона и из поиска. Последний слой — проверка файлов на сервере штатными средствами платформы: «Поиск троянов» в 1С-Битрикс, сверка контрольных сумм в WordPress.

Онлайн-сканер по ссылке покрывает только первый слой, да и то частично. Он сверяет адрес с чёрными списками и не видит код, который лежит на сервере и пока ничего не показывает посетителям. «Чисто» в таком сервисе значит лишь, что сайт пока ни в один список не попал. Ниже план, который можно пройти за один рабочий день, таблица регулярных проверок и чек-лист для подрядчика.

Коротко

Внешние списки угроз: раздел «Безопасность и нарушения» в Яндекс Вебмастере и отчёт «Проблемы безопасности» в Google Search Console. Пустой список значит, что ограничений нет.
Онлайн-сканеры вроде VirusTotal проверяют адрес по базам партнёров. Зелёный результат не доказывает, что на сервере нет вредоносного кода.
В 1С-Битрикс с модуля security 23.0.0 есть «Поиск троянов»: он ищет подозрительный код в файлах, .htaccess и задачах cron. Сканер безопасности ищет ошибки настройки, а не вирусы.
В WordPress команды wp core verify-checksums и wp plugin verify-checksums --all сверяют файлы ядра и плагинов с эталоном WordPress.org.
Перепроверка в Яндексе после чистки занимает до 30 дней. До «Чёрной пятницы» 27 ноября 2026 года осталось пять с половиной недель, так что проверять сайт стоит сейчас.

Почему это важно сейчас

Распродажа 11.11 через три недели, «Чёрная пятница» в 2026 году приходится на 27 ноября. Если вредоносный код найдут поисковики в разгар сезона, сайт получит пометку в выдаче. По справке Яндекс Вебмастера, проверка после исправления идёт до 30 дней. Если ограничение не сняли, повторно отправить сайт можно только через 30 дней после предыдущей заявки. Google в справке Search Console пишет, что проверка обычно занимает от нескольких дней до нескольких недель. Для магазина это может означать, что вся ноябрьская выручка из поиска пройдёт мимо.

Заражение часто сидит на сайте месяцами, прежде чем его заметят. В октябре 2025 года компания CyberOK сообщила, что из примерно миллиона активных установок 1С-Битрикс около 150 тысяч по внешним признакам уязвимы к BDU:2023-05857 в модуле landing (CVSS 10). Исправление вышло ещё в сентябре 2023 года в версии 23.850.0. Получается, что старую дыру можно найти и использовать спустя годы, и о ней не узнают, пока что-то не сломается на витрине.

Пошаговая проверка за один день

Шаг 1. Посмотрите, что видят поисковики (15 минут)

Яндекс Вебмастер: «Оптимизация сайта» → «Безопасность и нарушения». Если список пуст, ограничений нет. Нарушения дублируются в «Диагностике сайта». Включите уведомления Вебмастера на почту, которую кто-то читает каждый день, а не на ящик давно уволившегося сотрудника.

Google Search Console: отчёт «Проблемы безопасности». Там бывают типы «Тип взлома: внедрение кода», «Тип взлома: внедрение URL», «Скачивание вредоносного ПО» и другие. Даже если основной трафик идёт из Яндекса, сюда стоит заглянуть: по справке Google, такие страницы помечаются в выдаче значком предупреждения, а при переходе посетитель видит объяснение, почему открывать их не стоит. Подробнее о том, как работают такие списки, в статье «Браузер помечает сайт опасным».

Если доступа к Вебмастеру или Search Console у вас нет, начните с этого: подрядчик может смениться, а права на сайт должны остаться у владельца.

Шаг 2. Прогоните адрес через онлайн-сканер (5 минут)

Вставьте адрес главной, корзины и пары карточек товаров в VirusTotal. По документации сервиса он сверяет адреса с чёрными списками партнёров и показывает вердикты сразу, как только кто-то из них внёс адрес в список. Поэтому результат «0 угроз» говорит о том, что адрес ещё никто не занёс в базу. Сам код при этом сервис не проверял. Отдельное срабатывание одного сканера из десятков может оказаться ложным: VirusTotal сам пишет о ложных срабатываниях.

Шаг 3. Откройте сайт глазами покупателя (20 минут)

Вредоносный код часто показывает подмену только части посетителей: тем, кто пришёл с телефона, или тем, кто перешёл из поиска. Проверьте:

переход на сайт из выдачи Яндекса с телефона через мобильный интернет, а не через офисный Wi-Fi;
корзину и страницу оплаты: нет ли лишних полей, чужих скриптов, окна «обновите браузер»;
нет ли в выдаче Яндекса по запросу site:вашдомен.ru страниц на непонятные темы (казино, лекарства, кредиты).

Как устроена такая подмена, разобрано в статье «Сайт показывает вам одно, а посетителю из поиска другое».

Шаг 4. Проверьте файлы на сервере (1–3 часа)

1С-Битрикс. В административной панели откройте «Настройки» → «Проактивная защита» → «Поиск троянов». Раздел появился в модуле security начиная с версии 23.0.0. В нём три вкладки:

«Сканирование файлов» ищет шаблоны вредоносного кода в новых и изменённых файлах, по умолчанию с корня сайта;
«Операционная система» показывает команды для консоли, чтобы проверить процессы, crontab и SSH-ключи;
«Проверка .htaccess» ищет подозрительные правила в этих файлах.

Документация 1С-Битрикс прямо предупреждает: найденное не обязательно троян, а троян может получить низкую оценку. Перемещение в карантин переименовывает файл, и если сайт его использует, сайт перестанет работать. Поэтому решение по каждому файлу принимает разработчик, а доступ по FTP или SSH для отката должен быть под рукой. Если на одном хостинге несколько сайтов, каждый проверяется отдельно.

Сканер безопасности (кнопка «Запустить сканирование») решает другую задачу: он ищет ошибки настройки и потенциальные уязвимости в коде, например выключенный WAF или пустой пароль к базе данных. Запустите его тоже, но вирусы он не ищет.

WordPress и WooCommerce. Если на хостинге есть WP-CLI, выполните в каталоге сайта:

wp core verify-checksums --include-root
wp plugin verify-checksums --all

Первая команда сверяет файлы ядра с контрольными суммами WordPress.org и не загружает сам WordPress во время проверки. Флаг --include-root добавляет предупреждения о посторонних файлах в корне сайта. Вторая команда сверяет файлы плагинов. Платные плагины, которых нет в каталоге WordPress.org, так не проверить: сравните их с архивом той же версии от разработчика. О проверках изнутри WordPress подробнее в статье «Мониторинг WordPress изнутри».

Хостинг. Спросите в поддержке хостинга, проверяет ли он файлы клиентов на вредоносный код, как часто и куда отправляет отчёт.

Шаг 5. Проверьте, через что могут зайти (30 минут)

Сравните версии ядра, модулей и плагинов с актуальными. Отдельно посмотрите на сторонние модули обмена, импорта и шаблоны: их обновляют реже ядра. Удалите всё, что выключено и не используется. Проверьте список администраторов CMS и пользователей FTP: лишние учётные записи бывшего подрядчика не менее опасны, чем старый модуль.

Шаг 6. Если нашли вредоносный код

Не удаляйте файлы сразу. Сначала снимите копию файлов и базы, потом меняйте доступы, потом чистите. Порядок действий описан в статье «Сайт взломан: что делать владельцу интернет-магазина в первые 24 часа».

Регулярные проверки: кто и как часто

Риск	Ответственный	Проверка	Частота
Пометка «опасный сайт» в Яндексе	Владелец	«Безопасность и нарушения» в Вебмастере, уведомления включены	Уведомления постоянно, просмотр раз в неделю
Предупреждение в Google и Chrome	Владелец	Отчёт «Проблемы безопасности» в Search Console	Раз в неделю
Подмена для мобильных и из поиска	Студия или подрядчик	Переход из выдачи с телефона, проверка `site:`	Раз в неделю и после каждого релиза
Вредоносный код в файлах	Студия или подрядчик	«Поиск троянов» в Битрикс, `verify-checksums` в WordPress	Раз в месяц и перед распродажами
Уязвимый модуль или плагин	Студия или подрядчик	Сверка версий с актуальными	Раз в месяц
Лишние доступы	Владелец + подрядчик	Список админов CMS, FTP, SSH-ключей	Раз в квартал и при смене подрядчика

Чек-лист для подрядчика

Скопируйте и отправьте студии или фрилансеру, который ведёт сайт:

ПРОВЕРКА САЙТА НА ВИРУСЫ ПЕРЕД РАСПРОДАЖАМИ
Сайт: ____________  Платформа и версия: ____________
Дата проверки: ____________  Кто проверял: ____________

Внешние списки
[ ] Яндекс Вебмастер, «Безопасность и нарушения»: пусто / есть нарушения
[ ] Уведомления Вебмастера приходят на: ____________
[ ] Google Search Console, «Проблемы безопасности»: пусто / есть проблемы
[ ] VirusTotal: главная, корзина, 2 карточки — результат: ____________

Глазами покупателя
[ ] Переход из выдачи Яндекса с телефона через мобильный интернет
[ ] Корзина и оплата без лишних полей и чужих окон
[ ] site:домен — посторонних страниц нет

Файлы на сервере
[ ] 1С-Битрикс: «Поиск троянов» → файлы, ОС, .htaccess (версия security: ____)
[ ] 1С-Битрикс: сканер безопасности, критичные пункты: ____________
[ ] WordPress: wp core verify-checksums --include-root — результат: ____
[ ] WordPress: wp plugin verify-checksums --all — не проверены: ____
[ ] Платные плагины и шаблон сверены с архивом разработчика
[ ] Отчёт антивируса хостинга получен

Точки входа
[ ] Ядро, модули, плагины, шаблон обновлены
[ ] Неиспользуемые модули и плагины удалены
[ ] Список администраторов CMS и пользователей FTP/SSH сверен

Итог: чисто / найдено (что, где): ____________
Следующая проверка: ____________

Пример разбора

Ситуация условная, собрана для иллюстрации.

Магазин детских товаров на WooCommerce готовится к 11.11. Владелец вставляет адрес в онлайн-сканер, видит «угроз не найдено» и успокаивается. Фрилансер на поддержке всё же проходит чек-лист. В Вебмастере пусто, переход из выдачи с телефона ведёт на сайт магазина. А wp core verify-checksums --include-root предупреждает о PHP-файле в корне, которого нет в дистрибутиве, и о двух изменённых файлах ядра.

Фрилансер снимает копию, перезаливает ядро той же версии, удаляет посторонний файл, обновляет плагин слайдера, который не обновлялся больше года, и меняет пароли. Витрина за всё время ни разу не показала ничего подозрительного, поэтому ни один внешний сканер не мог этого найти. Если бы код начал перенаправлять посетителей в разгар распродажи, магазин узнал бы об этом от покупателей или из пометки в выдаче.

Частые ошибки

Считать зелёный результат онлайн-сканера доказательством. Сканер по ссылке видит списки угроз, а не файлы на сервере.
Путать сканер безопасности Битрикс с антивирусом. Он ищет ошибки настройки. Подозрительный код ищет «Поиск троянов».
Отправлять файлы в карантин без разработчика. Переименованный файл может остановить сайт, причём перед распродажей.
Проверять сайт только со своего компьютера. Подмена часто срабатывает лишь для мобильных или для переходов из поиска.
Чистить, не закрыв точку входа. Если уязвимый модуль остался, код вернётся.
Держать уведомления Вебмастера на чужой почте. О пометке узнают последним.

Честные ограничения. Ни один из этих способов не гарантирует, что сайт чистый. Сигнатурные проверки пропускают новый или хорошо замаскированный код, а сверка контрольных сумм не охватывает базу данных, где тоже прячут вредоносные вставки. Проверка снижает риск и сокращает время до обнаружения. Если сайт обрабатывает данные карт сам или затронут весь сервер, нужен специалист по безопасности.

Вопросы и ответы

Можно ли проверить сайт на вирусы онлайн бесплатно?

Да, но только частично. Яндекс Вебмастер, Google Search Console и VirusTotal бесплатны и показывают, попал ли сайт в списки угроз. Файлы на сервере они не проверяют, для этого нужны средства платформы или хостинга.

Как часто проверять сайт интернет-магазина на вирусы?

Внешние списки смотрите раз в неделю при включённых уведомлениях. Файлы проверяйте раз в месяц, перед каждой крупной распродажей и после смены подрядчика.

Что делать, если «Поиск троянов» нашёл много подозрительных файлов?

Не удаляйте их и не отправляйте в карантин списком. Документация 1С-Битрикс предупреждает, что сканер срабатывает и на обычный код. Передайте список разработчику: он сравнит файлы с дистрибутивом и решит по каждому.

Как не пропустить момент заражения

Шаг 3 из плана, проверку глазами покупателя, тяжело делать вручную каждый день. Pingvera проверяет сайт снаружи раз в минуту, в том числе из разных регионов и с мобильным User-Agent, следит за неожиданными редиректами на чужие домены и за признаками взлома WordPress. Файлы на сервере сервис не сканирует, поэтому шаг 4 остаётся за подрядчиком. Бесплатный тариф покрывает до 5 сайтов.

Источники

Проверено: 20 октября 2026 года

Узнавайте о проблеме раньше клиента

Pingvera следит за сайтами клиентов «снаружи и изнутри» — доступность из регионов, формы, оплата, домен, SSL, сервер — и предупреждает в Telegram, email и Max раньше, чем напишет клиент.

Попробовать Pingvera бесплатно

← Все статьи · Политика конфиденциальности · pingvera.ru · Telegram-канал