Админка сайта: что это, как войти и как защитить доступ

Что такое админка сайта?

Админка, или административная панель, - служебная часть проекта. По описанию хостера MCHost, это специальная область веб-ресурса, доступная только владельцу или уполномоченным пользователям. Посетитель видит витрину: страницы, каталог, формы заявок. Админка стоит за ней и меняет всё, что витрина показывает.

Слово «админка» русскоязычное: в том же материале отмечено, что на английском чаще говорят admin panel или dashboard. Поэтому в зарубежных справочниках и в документации CMS ищите именно эти названия, а в Яндексе удобнее искать по запросу «админка» вместе с названием своей системы.

Набор функций у разных панелей похож. Словарь Топвизора перечисляет шесть составляющих: авторизацию, главную страницу, инструменты редактирования, панель синхронизации с базами данных, панель для SEO и панель со статистикой. На практике это экран входа, дашборд с цифрами, редактор страниц и товаров, раздел настроек и блок, где лежат метатеги.

Из чего состоит админка и что в ней делают?

Работа в панели укладывается в один цикл. Сотрудник входит под своим логином, открывает нужный раздел, вносит правку и сохраняет её, после чего изменение сразу видно посетителям. Разработчик студии Kalinkin Dev делит типичную панель на пять блоков: управление контентом, каталог и заказы, пользователи и роли, интеграции, настройки с SEO-полями и резервными копиями.

Разберём блоки на примере интернет-магазина. Контент - это страницы, статьи и медиатека. Каталог - товары, остатки и цены. Заказы - статусы и история покупок. Интеграции подключают оплату, доставку и рассылки. Настройки отвечают за домены, адреса страниц и копии данных. Чем больше блоков нужно бизнесу, тем важнее продумать структуру до запуска.

Связку из практики того же разработчика он описывает так: магазин на WooCommerce, оплата через Т-Банк, доставка СДЭК. Оплаченный заказ менеджер находит прямо в панели WooCommerce, отправление в СДЭК оформляет кликом, а трек-номер возвращается в карточку без ручного ввода. До автоматизации статус доставки уточняли звонком в поддержку курьерской службы.

Отдельный блок стоит упомянуть: роли. В документации WordPress роль описана как набор задач, которые разрешены пользователю. Администратор получает доступ ко всем функциям одного сайта, редактор управляет записями всех авторов, автор публикует только свои материалы, а участник пишет тексты, но не может их опубликовать. Подписчик управляет лишь своим профилем.

Без панели любая правка цены или текста проходит через разработчика. По словам Kalinkin Dev, правка превращается в ожидание на день-два с почасовой оплатой, хотя владелец справился бы сам. Он выделяет и признак, что отдельная панель нужна: контент меняется чаще, чем раз в месяц, будь то новости, товары, цены или акции.

Роли решают две задачи сразу. Копирайтер не удалит страницу услуг, а подрядчик, которому нужен доступ на неделю, не увидит заказы и настройки. Раздайте права по принципу минимальной достаточности, а полный доступ оставьте двум-трём людям.

Какие бывают админки?

Панели делят на два больших типа. Словарь Топвизора выделяет готовые и кастомные: первые идут вместе с CMS, вторые пишет программист под конкретный проект. Третий вариант - конструкторы вроде Tilda, у которых упрощённая панель входит в тариф.

Подробнее о выборе системы управления можно прочитать в нашем справочнике: что такое CMS и чем платформы различаются по возможностям. Для большинства малых проектов готовой CMS достаточно, а кастомная панель окупается, когда процессы бизнеса не умещаются в плагины.

Граница между типами хорошо видна на примере Tilda. Разработчик в том же материале разделяет роли: блоки редактируются в самом конструкторе, а для заказов, клиентов и интеграций полноценной панели нет. Поэтому разработчик подключает CRM или эквайринг скриптом поверх готового дизайна: по его расценкам, сайт на Tilda стоит от 30 000 ₽, а доработка скриптом от 3 000 ₽. Для сравнения, интернет-магазин под ключ у него стоит от 80 000 ₽, так что связка конструктора и скрипта обходится в разы дешевле. Это самоотчёт исполнителя, ориентироваться стоит на собственное техзадание.

Для готовой CMS есть и другое преимущество. MCHost отмечает, что у WordPress, Joomla и 1С-Битрикс панель встроена «из коробки», стандартизирована, хорошо документирована и обросла дополнениями. Любой подрядчик быстро разберётся в такой системе, и это снижает зависимость бизнеса от одного разработчика.

Если вы не уверены, что выбрать, ответьте на три вопроса. Как часто меняется контент: раз в год или каждую неделю? Сколько людей работает в панели? Нужна ли связка с оплатой, складом или CRM? Редкие правки и один редактор укладываются в конструктор, частые обновления и несколько ролей требуют CMS, а особые бизнес-процессы ведут к кастомной разработке.

Как зайти в админку сайта?

Адрес входа зависит от системы. Редактор Timeweb пишет, что админка WordPress открывается после добавления к домену приставки /wp-admin. Для остальных систем тот же материал и словарь Топвизора дают такие пути:

• WordPress открывается по адресу /wp-admin, при первом входе система перенаправляет на /wp-login.php;
• 1С-Битрикс принимает вход по пути /bitrix/admin/ после имени домена;
• Joomla использует каталог /administrator/ в конце адреса сайта;
• MODX держит панель в каталоге /manager/ по умолчанию;
• Drupal принимает адрес /user, а при ошибке автоматического входа /user/login;
• OpenCart открывает панель по пути /admin после домена;
• Tilda работает через единый кабинет на странице tilda.cc/login.

Сначала нужно понять, на чём построен проект. Эксперт Digital Geeks Владимир Малюгин советует начать с подвала страницы, где часто указана платформа, а затем проверить сервисы вроде BuiltWith и WhatCMS по доменному имени. Эти способы подскажут и стандартный адрес входа.

Адрес могли изменить. В том же материале Timeweb сказано, что стандартный путь администратор иногда меняет ради безопасности. Помогает файл robots.txt: служебные каталоги, закрытые от индексации, указаны в нём прямым текстом. Для MODX нестандартный путь записан в файле /core/config/config.inc.php, но чтобы его открыть, нужен доступ к хостингу.

Мелочи, которые путают новичков. В Joomla логин по умолчанию ADMIN, но имя могли заменить, поэтому его стоит уточнить у владельца проекта. В Drupal после входа иногда не отображается меню, и тогда помогает прямой путь /admin. В обоих случаях пользователь должен иметь соответствующие права, иначе придётся просить владельца настроить доступ.

Если ничего не помогло, не подбирайте пароли и не перебирайте адреса. Напишите подрядчику, который делал проект, или в поддержку хостинга: при подтверждении владельца домена вам подскажут адрес и помогут восстановить доступ.

Что делать, если в админку не получается войти?

Причины обычно бытовые. Словарь Топвизора называет неверный логин или пароль, кеширование, ограниченный доступ с ошибкой 403 и перенос сайта на другой хостинг. Сначала очистите кеш браузера, откройте адрес в окне инкогнито и проверьте раскладку клавиатуры, потом переходите к восстановлению пароля.

В том же материале Timeweb восстановление через встроенную форму описано как основной способ: после нажатия на кнопку «Забыли пароль?» ссылка приходит на почту владельца. Для Tilda, если форма не помогла, словарь Топвизора советует написать в техподдержку с указанием адреса проекта.

Осторожнее с MODX: по данным того же словаря, после пяти неудачных попыток ввода учётная запись блокируется. Снимать блокировку нужно через базу данных, а значит, понадобится доступ к хостингу. Не вводите пароль наугад, лучше один раз запросить сброс.

Если почта утрачена, а разработчик недоступен, в интернете описаны способы вернуть доступ через базу данных, загрузив на хостинг короткий php-файл. Такие приёмы работают, но ошибка может стоить сайту данных. Загруженный файл лучше сразу удалить, поэтому операцию лучше доверить специалисту или поддержке хостера.

Как защитить админку от взлома?

Админка открывает доступ ко всему сайту, поэтому её и атакуют. Официальный справочник WordPress для разработчиков называет подбор паролей простейшим способом взлома: злоумышленник автоматически перебирает пары логина и пароля, пока одна не подойдёт. Те же принципы подходят для любой CMS.

• Включите двухфакторную авторизацию для всех администраторов: в ядре WordPress её нет, поставьте плагин или подключите внешнюю систему входа.
• Заведите уникальный длинный пароль в менеджере паролей и не используйте логин admin.
• Ограничьте число попыток входа на уровне сервера или защитной сети, а не только плагином.
• Держите ядро, темы и плагины обновлёнными.
• Уменьшите число администраторов и давайте остальным роли с минимальными правами.

Масштаб перебора показывает эксперимент Sucuri. Компания поставила ловушки из тестовых сайтов на WordPress и за несколько дней насчитала больше 30 адресов, которые подбирали пароль на странице входа: каждый пробовал от 30 до 300 вариантов. Во всех запросах перебирали только пользователя admin, а в списке паролей были admin123, qwerty и 123456. Основатель Sucuri Даниэль Сид подвёл итог одной фразой.

Безопасность сайта начинается с вас.

Даниэль Сид, основатель Sucuri

Слабый пароль подводил и крупные проекты. Хакерская группа OurMine вошла в TechCrunch через учётную запись автора, а не через уязвимость WordPress или плагинов, как сообщал WP Tavern. Издание вернуло контроль за несколько минут и удалило записи злоумышленников в админке.

Другая угроза - уязвимые плагины. Securitylab рассказывает, что в плагине WP Automatic, установленном на 30 000 сайтов, нашли брешь, через которую создавали администраторов и ставили бэкдоры. Служба WPScan зафиксировала более 5,5 млн попыток атак. Признаком взлома названа учётная запись администратора с именем на «xtw», рекомендация одна: обновить плагин и держать свежую резервную копию.

Чтобы начать, проверьте три вещи сегодня. Есть ли в списке пользователей логин admin и сколько человек имеют роль администратора. Включена ли двухфакторная защита у владельца. Когда в последний раз обновляли плагины и делали резервную копию. Эти проверки занимают полчаса и закрывают основные сценарии, описанные выше.

Как админка связана с SEO и маркетингом?

Через админку вы управляете тем, что видят поисковые системы. По описанию Топвизора, панель позволяет добавлять текст и мультимедиа, а также метатеги. В том же материале в чек-листе выбора CMS сказано, что система должна включать инструменты для SEO. Проверяйте это до покупки темы или плагинов.

Для маркетолога в панели важны несколько настроек: заголовок и описание страницы, адреса страниц, перенаправления, карта сайта и файл robots.txt. Разработчик Kalinkin Dev в том же материале относит SEO-поля, домены и резервные копии к разделу настроек. Базовые понятия оптимизации собраны в нашем руководстве по SEO.

Ещё один практический момент касается платных расширений. В словаре Топвизора отмечено, что бесплатные CMS подходят для полноценной работы, но за некоторые плагины и функции придётся заплатить. Закладывайте в бюджет поддержку: обновления безопасности и работа с хостингом входят в стоимость владения сайтом.

Взлом админки бьёт и по поисковому трафику. В комментариях к тому же материалу Sucuri администратор около 70 сайтов на WordPress написал, что за год взломали четыре из них, и каждый раз причиной был слабый пароль. Первым делом взломщик ставил два плагина, которые правили файлы index.php. Администратор взялся писать плагин-уведомление об установке новых плагинов, чтобы заметить вторжение раньше, чем сайт попадёт в индекс как заражённый.

Не забудьте закрыть саму админку от индексации и не публикуйте ссылки на неё. Служебные каталоги обычно перечислены в robots.txt, и это же знает любой, кто ищет вход. Поэтому запрет индексации не заменяет защиту паролем и ограничением доступа.

Частые вопросы