Как защитить админ-панель: практический чек-лист

Коротко

Админ-панель — самая ценная дверь в систему: кто в неё вошёл, тот может менять цены, выгружать клиентов и удалять данные. Одного пароля здесь мало. Надёжная защита — это несколько независимых слоёв, чтобы одна утёкшая учётка или одна ошибка не открывали всё сразу:

1. Отдельный домен или путь, изолированный от публичного сайта.
2. Обязательная двухфакторная аутентификация для каждого аккаунта.
3. Сетевое ограничение: белый список IP или VPN.
4. Роли с минимальными правами вместо одного общего «админа».
5. Журнал аудита всех действий в админке.
6. Таймауты сессий и повторный вход перед критичными операциями.

Почему скрытый URL — не защита

Перенос /admin в /panel-x7k2 снижает шум от ботов, но это security through obscurity. Адрес утекает через историю браузера, заголовок Referer, скриншоты, старые письма, бывших сотрудников и сканеры, которые перебирают типовые пути. Считайте скрытый адрес приятным дополнением, но не замком. Всё, что ниже, должно работать, даже если злоумышленник знает точный URL.

1. Отдельный домен или путь

• Лучше всего — поддомен вида admin.example.com. У него свои cookies, свои заголовки безопасности и отдельные правила firewall.
• Cookie сессии админки привязывайте только к её хосту, с флагами Secure, HttpOnly и SameSite.
• Закройте от индексации: X-Robots-Tag: noindex и никаких ссылок с публичного сайта.
• Если поддомен невозможен, вынесите путь админки в отдельную группу маршрутов со своим middleware для авторизации и rate limiting.

2. Обязательная 2FA

• Включайте 2FA для всех админских аккаунтов, а не «по желанию».
• Лучшие варианты: WebAuthn / passkeys или аппаратные ключи, затем TOTP-приложения. SMS — самый слабый вариант из-за перевыпуска SIM-карт.
• Выдайте одноразовые коды восстановления и определите, кто и как сбрасывает 2FA и как проверяется личность сотрудника.
• Добавьте ограничение попыток и временную блокировку на вход и ввод кода.

3. Ограничение по IP или VPN

• Если команда работает из офиса, разрешите вход в админку только с офисных IP.
• Для удалённой команды спрячьте панель за VPN или zero-trust прокси, чтобы она вообще не была доступна из открытого интернета.
• Ограничение ставьте на уровне веб-сервера или firewall, а не только в коде приложения.

location /admin/ {
    allow 203.0.113.10;   # офис
    allow 10.8.0.0/24;    # подсеть VPN
    deny all;
}

4. Роли с минимальными правами

• Создайте роли под задачи: редактор контента, менеджер заказов, поддержка, финансы, суперадмин.
• У каждого сотрудника — личная учётная запись. Общие аккаунты делают расследование невозможным.
• Проверяйте права на сервере при каждом запросе, а не только скрывайте кнопки в интерфейсе.
• Регулярно пересматривайте доступы и сразу отключайте аккаунт при увольнении.
• Права суперадмина — у одного-двух человек и только для редких задач.

5. Журнал аудита

Записывайте, кто, что, когда и откуда сделал:

• Храните логи там, где админы не могут их изменить или удалить, например в отдельном сервисе логирования.
• Настройте оповещения о необычных событиях: массовые выгрузки, смена ролей, вход ночью или из новой страны.

6. Сессии и таймауты

• Таймаут бездействия: выход после периода неактивности.
• Абсолютный таймаут: обязательный повторный вход после максимальной длительности сессии, даже если человек активен.
• Перевыпускайте идентификатор сессии после входа и аннулируйте его при выходе и смене пароля.
• Запрашивайте пароль или 2FA повторно перед критичными действиями: смена ролей, выгрузка клиентской базы, изменение платёжных настроек.
• Показывайте список активных сессий с кнопкой «выйти на всех устройствах».

Частые ошибки

• Один аккаунт admin на всю команду.
• 2FA включена только у владельца.
• Админка на том же домене и с теми же cookies, что и публичный сайт.
• Проверка прав только во фронтенде.
• Логи, которые может очистить любой администратор.
• Стандартные пути CMS и пароли по умолчанию.