Согласно результатам опроса Melapress о безопасности WordPress за 2026 год, специалисты в этой сфере обеспокоены вопросами защиты так же сильно, как и год назад, однако уровень их готовности к угрозам не вырос.
В опросе, который проводится уже в пятый раз и результаты которого были опубликованы в этом месяце, в период с марта по июль поучаствовали 319 респондентов: представители агентств, разработчики, дизайнеры, а также владельцы и администраторы сайтов. Уровень обеспокоенности безопасностью WordPress участники оценили в среднем на 7,85 балла из 10, что близко к показателю 7,8, зафиксированному в 2025 году.
При этом лишь 27,9% респондентов заявили о наличии плана восстановления после взлома (показатель практически не изменился по сравнению с 27% в прошлом году), а 26% сообщили о проведении обучения команды вопросам безопасности (также без изменений по сравнению с 2025 годом). Даже среди тех, кто оценил свою обеспокоенность на 7 баллов и выше, план восстановления имелся только у 32,5%.
Компания Melapress обращает внимание на этот разрыв между обеспокоенностью и реальными действиями как минимум с 2024 года. В прошлом году основатель и генеральный директор компании Роберт Абела отмечал, что многие ошибочно принимают очистку сайта от вредоносного ПО за полноценный план восстановления. Комментируя изданию The Repository отсутствие динамики показателей в этот раз, он объяснил ситуацию особенностями человеческой психологии.
«Мы не предпринимаем никаких действий, пока нас к этому что-то не вынудит. Одна из самых распространенных причин покупки продуктов для обеспечения безопасности — как в нашей компании, так и в целом за время моей карьеры в этой отрасли — заключается в том, что сайт клиента только что взломали, — пояснил он. — Люди сначала ощущают последствия атаки на себе, и именно тогда вопрос безопасности становится для них приоритетным».
В общей сложности 67,7% респондентов сообщили как минимум об одном известном инциденте безопасности, а 45,5% столкнулись с двумя и более такими случаями. Показатель 67,7% значительно ниже прошлогоднего (96%), хотя в опросе 2025 года, по-видимому, использовалось более широкое определение инцидента, включавшее фишинговые письма и автоматизированные попытки входа в систему. Среди тех, кто столкнулся с инцидентом, наиболее распространенным последствием стал даунтайм — об этом сообщили 68,4% опрошенных.
Респонденты, столкнувшиеся более чем с пятью инцидентами, были обеспокоены сильнее остальных (средний уровень обеспокоенности — 8,56 против 7,74) и применяли больше мер по обеспечению безопасности (в среднем 4,81 против 3,92).
«Опыт меняет поведение так, как не способна изменить одна лишь осведомленность», — отметил Абела.
В отчете отмечается, что опрос сопоставляет текущие меры защиты с инцидентами, произошедшими в прошлом, поэтому нельзя с уверенностью сказать, были ли эти сайты лучше защищены именно в тот момент, когда они подверглись атаке.
«Крупные организации, как правило, решают эту задачу, поскольку их к этому обязывают нормативные требования, а в штате у них есть профильные специалисты. У рядового пользователя WordPress нет ни того, ни другого, поэтому им приходится самостоятельно разбираться с возможными рисками», — пояснил Абела.
Респонденты, работающие с сайтами, требующими повышенного уровня защиты, оказались более подготовленными. Так, план восстановления после взлома имелся у 44,1% владельцев мембершип-сайтов против 23,5% в остальных категориях; для сайтов электронной коммерции этот показатель составил 35,8% против 23,9%. Кроме того, администраторы корпоративных сайтов и сайтов брендов значительно чаще использовали логи активности или системы мониторинга: 70,2% против 46,6%.
Самым распространенным способом обнаружения инцидентов (его назвали 42,6% респондентов, столкнувшихся с подобными проблемами) стало выявление странного функционирования сайта. В 38,4% случаев проблему удалось обнаружить благодаря анализу логов или оповещениям от систем логирования, в 35,6% — благодаря уведомлениям от хостинг-провайдера, а в 30,1% — с помощью сканеров вредоносного ПО.
Абела отметил, что обеспечение безопасности — это непрерывный цикл, включающий укрепление защиты, мониторинг, обновление систем и пересмотр принятых мер, однако люди склонны уделять основное внимание только укреплению защиты — например, установке файрвола.
«Мониторинг — это тот этап цикла, который люди зачастую упускают из виду. Возможно, потому, что обстоятельства пока не вынудили их действовать иначе», — сказал он.
«Первым сигналом становится то, что можно увидеть невооруженным глазом: например, когда ваш потенциальный клиент замечает, что сайт выглядит или работает некорректно, — добавил он. — К этому моменту взлом уже перешел в стадию, затрагивающую нормальное функционирование ресурса. Вы уже не просто выявляете инцидент, а реагируете на свершившийся факт взлома».
Компания Melapress продает плагин для ведения журнала активности WP Activity Log; в отчете отмечается, что значительная часть ответов поступила по собственным каналам компании — этот фактор был учтен при анализе результатов, касающихся функций безопасности, которые обеспечивают продукты Melapress. При этом более половины ответов было получено через сторонние каналы, включая конференцию WordCamp Europe.
«Я пришел к выводу, что среднестатистический специалист по WordPress гораздо лучше умеет укреплять защиту сайта, чем следить за его состоянием», — отметил Абела.
Полные результаты исследования, а также отдельный аналитический отчет по мембершип-сайтам, опубликованы в блоге Melapress.
