XSS (Cross-Site Scripting, міжсайтовий скриптинг) — це тип атаки, за якої зловмисник впроваджує шкідливий скрипт у сторінку вразливого сайту, і цей код виконується в браузерах відвідувачів. Так крадуть cookie й дані форм, підміняють вміст або перенаправляють людей на шахрайські ресурси.
Простими словами: уяви дошку оголошень у під’їзді, куди будь-хто може почепити папірець. Зловмисник клеїть не оголошення, а пастку: кожен, хто його прочитає, мимоволі віддає ключі від квартири. Сайт, який не перевіряє, що туди пишуть користувачі, — саме така дошка.
Що таке XSS і чим він небезпечний для SEO
Вразливість виникає там, де сайт виводить дані від користувача без обробки: коментарі, відгуки, пошук, форми, параметри в адресі. Основні види — збережена (код записується в базу й бачать усі), відбита (код приходить через посилання з параметром) і DOM-based (спрацьовує під час обробки сторінки в браузері).
Крім витоку даних клієнтів, через XSS на сторінки часто вставляють приховані спам-посилання та редиректи. Якщо Google це виявить, у видачі може з’явитися позначка про злам, браузер — показувати попередження Google Safe Browsing, а в Search Console — прийти повідомлення про проблеми безпеки. Фактично сайт стає вірусним сайтом.
Як захистити сайт від XSS
- Екрануйте вивід. Усе, що ввів користувач, перед показом перетворюйте на безпечний текст, щоб браузер не виконав його як код.
- Перевіряйте введення на сервері. Обмежуйте формати полів (телефон — лише цифри) і відкидайте підозрілий вміст на бекенді, а не лише у формі.
- Налаштуйте Content Security Policy. HTTP-заголовок CSP забороняє браузеру запускати скрипти з неперевірених джерел.
- Захистіть cookie. Прапорець HttpOnly не дає JavaScript прочитати сесійні cookie, тож сесію адміністратора не викрадуть.
- Оновлюйте CMS і плагіни. Багато вразливостей живе в застарілих розширеннях — для WordPress це особливо актуально.
Приклад
Інтернет-магазин косметики в Києві на WordPress використовує плагін відгуків, який не оновлювали два роки. Через вразливість у ньому хтось залишив «відгук» зі скриптом, що перенаправляв мобільних відвідувачів на сайт казино. Власник дізнався про це з повідомлення в Search Console, коли замовлень з органіки вже стало вдвічі менше. Довелося чистити код, оновлювати плагін і просити Google про повторну перевірку.
Часто плутають з…
- Фішинг — обман, щоб людина сама віддала дані на підробленому сайті; XSS — технічна атака через вразливість справжнього сайту.
- Вірусний сайт — наслідок, а не метод: сайт, що поширює шкідливий код. XSS — один зі способів, як ресурс таким стає.
Питання та відповіді
Чи впливає XSS на позиції в Google?
Сама вразливість — ні, а її використання — так. Якщо через XSS з’явилися спам-посилання чи шкідливі редиректи, Google може позначити сайт як зламаний, і трафік падає до усунення проблеми.
Як дізнатися, що сайт зламали через XSS?
Перевірте звіт про проблеми безпеки в Search Console, пошукайте свій домен у Google разом зі словами на кшталт «казино» і перегляньте код сторінок з відгуками на сторонні скрипти.
Чи захищає HTTPS від XSS?
Ні. HTTPS шифрує з’єднання між браузером і сервером, але не заважає виконати шкідливий скрипт, який уже вбудований у сторінку. Від XSS захищають екранування, CSP та оновлення ПЗ.
Підозрюєте, що сайт зламали? Приберемо шкідливий код і закриємо вразливості — виправлення помилок на сайті.
Схожі терміни: Вірусний сайт, Фішинг, Google Safe Browsing, JavaScript, HTTPS.
