Как защитить информацию на сайте?

Минимальный набор для небольшого сайта: HTTPS, регулярные обновления CMS и плагинов, бэкап не реже раза в неделю, ограничение попыток входа в админку и разграничение прав доступа для каждого, кто работает с сайтом. Персональные данные из форм заявок дополнительно подпадают под 152-ФЗ и требуют согласия на обработку и защищённого хранения.

Обновления закрывают большинство реальных взломов: у сканеров есть базы известных уязвимостей конкретных версий CMS и плагинов, и они проверяют сайты автоматически, а не подбирают вручную именно ваш. Пропущенное на полгода обновление плагина форм — типичная точка входа.

Доступ к админке и хостингу стоит выдавать по принципу минимума: отдельный логин каждому сотруднику или подрядчику, а не общий пароль на всех, и двухфакторная аутентификация хотя бы для главного администратора. После ухода человека из проекта доступ закрывают в тот же день, а не когда вспомнят.

Взломанный сайт используют не только для кражи данных из форм: на него незаметно подсаживают чужую фишинговую страницу или скрипт для перебора паролей на других сервисах, и владелец узнаёт об этом от хостинга или от Google, а не сам. Регулярная проверка файлов на посторонний код и мониторинг доступности — часть той же защиты, что и бэкапы.