Безопасность B2B-сайта

Какую платформу сайта выбрать B2B-компании с учётом безопасности

Если B2B-компании нужен обычный корпоративный сайт или посадочная страница и нет своего администратора, выбирайте Tilda . Платформа сама обслуживает серверы, распределяет нагрузку и предоставляет базовые средства защиты. Если нужен сложный сайт с каталогом, личным кабинетом, интеграцией с 1С и нестандартными процессами, выбирайте 1С-Битрикс , но только вместе с ответственным профильным интегратором.

WordPress и MODX подходят, когда у компании есть технический специалист или подрядчик, который отвечает за хостинг, WAF, обновления, дополнения и резервные копии. Creatium можно рассматривать для несложных страниц, но до запуска критичного B2B-сайта стоит отдельно запросить условия DDoS-защиты, восстановления и исправления уязвимостей.

Безопасность зависит не только от движка. Сайт остаётся уязвимым, если никто не обновляет модули, домен защищён одним паролем, резервные копии не проверяются, а объёмную DDoS-атаку пытаются остановить плагином. Поэтому лучший вариант — платформа, которую компания способна постоянно обслуживать и быстро восстанавливать после сбоя.

Короткое сравнение

На узком экране таблицу можно прокрутить вправо.

Платформа Когда выбирать Главный риск
Tilda Типовой корпоративный сайт без администратора Зависимость от закрытой облачной платформы и её публичной прозрачности
1С-Битрикс Каталоги, личные кабинеты, 1С, сложные интеграции Устаревшие модули, шаблоны и отложенные обновления
WordPress Контентный и гибко настраиваемый сайт с техническим сопровождением Большая экосистема плагинов и тем увеличивает поверхность атаки
MODX Нестандартный проект с опытным разработчиком Безопасность сильно зависит от конкретной сборки и подрядчика
Creatium Простые страницы и быстрый запуск Недостаточно открытых данных о DDoS-защите и сроках исправления проблем

Что показали публичные данные за два года

Период проверки: 01.10.2024–01.10.2026.

  • 1С-Битрикс. В объединённом реестре производителя опубликовано 16 карточек после 01.10.2024. У 10 записей дата выявления также попадает в период; медианный интервал до исправления по ним составил 2 дня. Реестр объединяет несколько продуктов, поэтому это нельзя называть числом уязвимостей только ядра CMS.
  • WordPress. В официальных security-релизах ядра перечислено 39 исправлений. Исследования Patchstack насчитали 7 966 уязвимостей экосистемы в 2024 году и 11 334 в 2025-м; основная доля пришлась на сторонние плагины.
  • Tilda. Новых публичных CVE за период не найдено. Платформа заявляет DDoS-защиту, мониторинг, внешние аудиты и двухфакторную авторизацию.
  • MODX. Найдены две уязвимости ядра и критическая проблема дополнения Login Extra. В двух официальных уведомлениях с полной временной шкалой исправление заняло 0 и 1 день.
  • Creatium. Новых публичных CVE и официального журнала уязвимостей не найдено. Документация подтверждает CAPTCHA, скрытое поле, роли и историю версий.

Эти цифры нельзя сравнивать напрямую. Открытая CMS публикует сведения о ядре и тысячах дополнений, а закрытая облачная платформа может исправить проблему без публичной CVE. Ноль найденных записей означает отсутствие публичного раскрытия, а не доказанную неуязвимость.

Что проверить до выбора платформы

1. Кто отвечает за обновления

Должен быть назван конкретный сотрудник или подрядчик. Формулировка «сайт обновляется автоматически» недостаточна: обновление может сломать интеграцию, а его отключение — оставить известную уязвимость.

2. Как сайт защищён от DDoS

Объёмную атаку нужно фильтровать до сервера через CDN или Anti-DDoS. Встроенный модуль CMS способен ограничить отдельные запросы, но не освободит забитый канал связи.

3. Как защищены домен и доступы

Минимум:

  • двухфакторная авторизация;
  • отдельные аккаунты сотрудников и подрядчиков;
  • запрет трансфера домена;
  • DNSSEC, если его поддерживает регистратор;
  • удаление доступов после завершения работ.

4. Можно ли восстановить сайт

Нужны независимые резервные копии и контрольное восстановление. Сам факт создания бэкапа ничего не гарантирует: архив может быть повреждён, храниться на том же сервере или не содержать актуальную базу данных.

5. Не ломаются ли интеграции

После обновления или восстановления нужно проверить:

  • формы и передачу UTM-меток;
  • подмену телефонных номеров и email;
  • онлайн-чат;
  • передачу обращений в CRM;
  • цели Метрики;
  • сохранение ClientID и yclid .

Для B2B недоступная форма — лишь часть риска. Компания может потерять звонки, письма с техническими заданиями и рекламные данные, хотя сам сайт продолжит открываться.

Что выбрать в типовых ситуациях

Нет администратора, нужен обычный сайт: Tilda.

Есть 1С, каталог, личный кабинет и сложные процессы: 1С-Битрикс с профильным интегратором.

Нужен гибкий контентный сайт: WordPress с минимальным набором проверенных плагинов, WAF и регламентом обновлений.

Нужна нестандартная разработка и есть сильный специалист: MODX.

Нужна простая посадочная страница: Creatium после проверки условий защиты и восстановления.

Итог

Для большинства небольших B2B-сайтов безопаснее не самая функциональная, а самая управляемая платформа. Если внутри компании никто не будет обслуживать сервер и CMS, облачное решение снижает операционный риск. Если сайт является частью сложной информационной системы, нужен самостоятельный движок и подрядчик, который отвечает не только за разработку, но и за обновления, мониторинг и восстановление.

Отдельно нужно защищать входящие обращения. Спам-заявки могут не взломать сайт, но испортить CRM, аналитику и работу отдела продаж. Этой проблеме посвящён материал «Спам-заявки в B2B: как они портят рекламу, CRM и работу отдела продаж» .

Частые вопросы

Какая платформа безопаснее без администратора?

Для типового корпоративного сайта — Tilda. Серверную инфраструктуру обслуживает сама платформа, но аккаунт, домен и интеграции нужно защищать отдельно.

Значит ли большое число уязвимостей, что WordPress хуже всех?

Нет. У WordPress огромная и активно исследуемая экосистема. Риск конкретного сайта зависит от установленных плагинов, хостинга и скорости обновлений.

Защищает ли CMS от DDoS?

Только от части прикладных запросов. Объёмную атаку должен фильтровать внешний CDN или Anti-DDoS-провайдер.

Достаточно ли автоматических резервных копий?

Нет. Нужно знать, где они хранятся, что в них входит и сколько времени занимает реальное восстановление.

Основные источники

Ещё по теме

← Все материалы по аналитике и CRM
← База знаний