Как понять, что сайт защищён?

Работающий сайт и защищённый сайт — разные вещи: сайт может открываться сегодня и упасть через день после автообновления PHP на хостинге или заражения через устаревший плагин. Признаки реальной защиты — это не внешний вид сайта, а факты за кулисами: CMS и плагины обновлены не позже чем на пару минорных версий, есть бэкап не старше недели, хотя бы раз проверенный восстановлением, и подключён мониторинг доступности.

Два года без обновлений — тревожный срок: у WordPress и его плагинов за это время выходят десятки исправлений уязвимостей, часть из них критические. Проверить версию CMS и плагинов можно прямо в админке в разделе обновлений — если там висит счётчик на 20-40 непримененных обновлений, это уже и есть ответ на вопрос про защиту.

Отдельно стоит проверить, есть ли рабочий бэкап и где он хранится: на том же сервере, что и сайт, бэкап почти ни от чего не защищает — при взломе или аварии хостинга пропадает вместе с сайтом. Полноценный бэкап хранится отдельно и проверяется хотя бы раз восстановлением на тестовый адрес, а не просто существует непроверенным файлом на всякий случай.

Если ни один из этих пунктов проверить самостоятельно не получается, это тоже ответ: сайт без специалиста, который отвечает за обновления и бэкапы, обычно не защищён, даже если сегодня открывается без ошибок — именно так чаще всего выглядит сайт за день до того, как он перестаёт открываться вовсе.