XSS (Cross-Site Scripting)

XSS (Cross-Site Scripting, межсайтовый скриптинг) — это тип атаки, при которой злоумышленник внедряет вредоносный скрипт в страницу уязвимого сайта, и этот код выполняется в браузерах посетителей. Так крадут cookie и данные форм, подменяют содержимое или перенаправляют людей на мошеннические ресурсы.

Простыми словами: представь доску объявлений в подъезде, куда кто угодно может повесить бумажку. Злоумышленник клеит не объявление, а ловушку: каждый, кто его прочитает, невольно отдаёт ключи от квартиры. Сайт, который не проверяет, что туда пишут пользователи, — именно такая доска.

Что такое XSS и чем он опасен для SEO

Уязвимость возникает там, где сайт выводит данные от пользователя без обработки: комментарии, отзывы, поиск, формы, параметры в адресе. Основные виды — хранимая (код записывается в базу и его видят все), отражённая (код приходит через ссылку с параметром) и DOM-based (срабатывает при обработке страницы в браузере).

Помимо утечки данных клиентов, через XSS на страницы часто вставляют скрытые спам-ссылки и редиректы. Если Google это обнаружит, в выдаче может появиться пометка о взломе, браузер — показывать предупреждение Google Safe Browsing, а в Search Console — прийти уведомление о проблемах безопасности. Фактически сайт становится вирусным сайтом.

Как защитить сайт от XSS

• Экранируйте вывод. Всё, что ввёл пользователь, перед показом превращайте в безопасный текст, чтобы браузер не выполнил его как код.
• Проверяйте ввод на сервере. Ограничивайте форматы полей и отбрасывайте подозрительное содержимое на бэкенде, а не только в форме.
• Настройте Content Security Policy. HTTP-заголовок CSP запрещает браузеру запускать скрипты из непроверенных источников.
• Защитите cookie. Флаг HttpOnly не даёт JavaScript прочитать сессионные cookie, поэтому сессию администратора не украдут.
• Обновляйте CMS и плагины. Многие уязвимости живут в устаревших расширениях — для WordPress это особенно актуально.

Пример

Интернет-магазин косметики в Киеве на WordPress использует плагин отзывов, который не обновляли два года. Через уязвимость в нём кто-то оставил «отзыв» со скриптом, перенаправлявшим мобильных посетителей на сайт казино. Владелец узнал об этом из уведомления в Search Console, когда заказов из органики уже стало вдвое меньше. Пришлось чистить код, обновлять плагин и просить Google о повторной проверке.

Часто путают с…

• Фишинг — обман, чтобы человек сам отдал данные на поддельном сайте; XSS — техническая атака через уязвимость настоящего сайта.
• Вирусный сайт — следствие, а не метод: сайт, распространяющий вредоносный код. XSS — один из способов, как ресурс им становится.

Вопросы и ответы

Влияет ли XSS на позиции в Google?

Сама уязвимость — нет, а её использование — да. Если через XSS появились спам-ссылки или вредоносные редиректы, Google может пометить сайт как взломанный, и трафик падает до устранения проблемы.

Как узнать, что сайт взломали через XSS?

Проверьте отчёт о проблемах безопасности в Search Console, поищите свой домен в Google вместе со словами вроде «казино» и просмотрите код страниц с отзывами на сторонние скрипты.

Защищает ли HTTPS от XSS?

Нет. HTTPS шифрует соединение между браузером и сервером, но не мешает выполнить вредоносный скрипт, который уже встроен в страницу. От XSS защищают экранирование, CSP и обновление ПО.

Подозреваете, что сайт взломали? Удалим вредоносный код и закроем уязвимости — исправление ошибок на сайте.

Похожие термины: Вирусный сайт, Фишинг, Google Safe Browsing, JavaScript, HTTPS.