Как защитить страницу сайта?

Фишинговую страницу на сайт добавляют не отдельно, а через ту же уязвимость, что дает доступ ко всему сайту: устаревший плагин, слабый пароль или дыру в форме загрузки файлов. Поэтому защита одной страницы невозможна в отрыве от защиты всего сайта — нужны обновления CMS и плагинов, сложные пароли, ограничение прав на запись файлов и мониторинг изменений, который заметит новый файл раньше, чем на него придут посетители.

На практике фишинговую страницу почти всегда заливают в отдельную папку со случайным или, наоборот, говорящим именем вроде /wp-content/uploads/2024/bank/, и она не связана ссылками с остальным сайтом. Поэтому владелец часто узнает о ней последним — от хостинга или из жалобы клиента. Регулярно проверять список файлов в uploads и подключить сервис мониторинга изменений стоит именно поэтому.

Право на запись файлов должно быть только у процессов, которым это нужно: у CMS для загрузки медиа и у вас при обновлении через FTP. Если хостинг позволяет, выполнение PHP-скриптов в папках загрузки лучше отключить полностью — тогда даже залитый файл фишинговой страницы не откроется как рабочая часть сайта.

Отдельно проверьте форму обратной связи и любые формы загрузки файлов: часто закладку делают именно через них, а не через прямой взлом пароля.