Как сделать защиту сайта?

Базовая защита сайта строится на четырёх вещах: SSL-сертификат для шифрования соединения, своевременные обновления CMS и плагинов, сложный уникальный пароль на админку с двухфакторной аутентификацией и регулярные автоматические бэкапы. Этот набор закрывает большинство массовых угроз — боты, которые перебирают известные уязвимости, а не целенаправленные атаки на конкретно ваш сайт, и для среднего сайта малого бизнеса дорогих сервисов вроде Cloudflare для этого не требуется.

SSL сейчас чаще всего бесплатный — хостинг выпускает сертификат Let’s Encrypt автоматически, без ручных действий и без оплаты. Обновления CMS и плагинов стоит проверять минимум раз в месяц: большинство взломов происходит именно через известную дыру в старой версии, а не через хитрый подбор пароля.

Отдельно стоит закрыть форму заказа от спам-ботов — без капчи, которая раздражает живых покупателей, это делает скрытое поле-ловушка (honeypot): бот его заполняет, человек не видит и не трогает. И добавить лимит на число попыток входа в админку, чтобы бот не мог перебирать пароли неограниченно.

Против массированной DDoS-атаки, о которой рассказал конкурент, базовые меры не спасут — тут нужна отдельная защита на уровне хостинга или внешнего сервиса, и решение об этом стоит принимать по факту, а не про запас: для обычного магазина без истории атак это избыточные траты. Начните с четырёх пунктов выше, они закрывают основной риск для большинства сайтов такого размера.