XSS

XSS (Cross-Site Scripting) — это дыра в безопасности сайта, о которой вспоминают только после того, как всё уже сломалось 🐗. Суть проста: атакующий вставляет свой JavaScript в страницу твоего ресурса, и браузер жертвы честно его исполняет — будто так и надо было.

Работает это примерно так: есть форма поиска или комментов, которая без нормальной валидации выводит пользовательский ввод обратно на страницу. Хакер пишет туда `<script>document.cookie...</script>` — и готово, куки уплыли. В SEO-контексте XSS особенно неприятна: через неё могут внедрить скрытые ссылки на казино, нутру или серые офферы прямо в твой белый сайт, что моментально роняет позиции и доверие в глазах Гугла 😩. Поисковик видит левый контент, пользователи видят редиректы на лудику, а ты сидишь и думаешь, где потерял трафик. Бывает и хуже: через XSS угоняют сессии adminки — и тогда сайт уже не твой. Различают три вида: Reflected (разовая атака через ссылку), Stored (скрипт сохраняется в базе и бьёт всех посетителей), DOM-based (всё происходит на стороне клиента без сервера).

Главная ошибка — думать, что XSS это "не про меня, у меня же маленький сайт" 😆. Как раз маленькие сайты на дырявых WordPress-темах и плагинах — любимая цель. Для SEO последствия: пессимизация, попадание в чёрные списки антивирусов, потеря ссылочного веса, если сайт начнёт отдавать вредоносный код. Закрывается XSS экранированием вывода (htmlspecialchars в PHP), настройкой Content Security Policy (CSP) и регулярными аудитами через тот же WPScan или Burp Suite. Нормально делай — нормально будет 🐗