Основные задачи хостинга — это безопасное хранение программного кода и данных сайта, стабильная скорость доступа к сайту 24/7.
Воскресенье, 1 мая — День труда же, а почему бы не поработать. Хостинг второй раз за месяц обрушил работу сайтов. Сайты восстановил из бекапов предыдущего дня. Справедливости ради хостинг хранит до 30 дней резервные копии. На этом можно было бы закончить и не писать статьи, но подробности произошедшего важно озвучить.
Тремя неделями ранее…
Ничего не предвещало беды, воскресенье, 10 апреля. Звонок от клиента: один из двух сайтов не работает. Быстрая проверка со смартфона подтверждает проблему недоступности. По дороге к ноутбуку звонит ещё один клиент, озвучивает схожую проблему. По приходу, первым делом, повторно проверяю сайты, доступность админки по url, все та же ошибка.
Первичный анализ ситуации: папки с сайтами не пустые, dns не меняли, изменения в код мной не вносились, клиенты содержимое сайты в этот день не меняли, у первого клиента 1 из 2, у второго 3 из 4-х не работают, CMS одна и та же, версии ядра чуть отличаются, сервера у хостинга разные. Есть основания полагать, что глобальная проблема на стороне хостинга.
Пишу в техническую поддержку одновременно у двух клиентов, параллельно перебираю возможные варианты возникшей проблемы, чтобы понять куда копать.
у второго клиента поддержка подтверждает направление мыслей.
Делаю копию текущего состояния файлов, скачиваю. Дополнительно проверяю сайты других клиентов, нахожу ещё один упавший сайт. Восстанавливаю из копии предыдущего дня. Сайты заработали.
Счет восстановленных сайтов равен пяти у трёх разных клиентов. Всё?
После фразы поддержки “Проблема нам известна. Рекомендуем восстановить файлы сайтов” появляется желание самостоятельно разобраться и проверить файлы.
Пишу в поддержку за подробностями сбоя
Параллельно, пока ждал ответа, через git сравниваю копию файлов сайта текущего дня с предыдущим днём. Получаем странную картину: некоторые файлы были изменены кем-то.
От поддержки приходит ответ, в котором говорят про помещение в карантин файлов.
11 апреля
На следующий день, 11-го, узнал у одного коллеги, что у него тоже были проблемы с клиентскими сайтами. Решил попробовать ускорить переписку через специальный чат хостинга в телеграм. И получить от них признание проблемы изменения файлов, а не попыткой спрятаться за словом “карантин”.
В ответе из тикета ещё раз утверждают, что файлы попали в карантин.
Фраза “поиск вредоносного кода и устранение уязвимостей в CMS” дают повод провести сравнение файлов, с файлами актуальной версии cms. Бинго!
Получается, они заменили выборочно несколько файлов на файлы из актуальной версии cms, т. е. провели какое-то “кривое” обновление, тем самым сломали сайты.
Написал 12 апреля в рамках тикета обращение к хостингу, с предложением через свои социальные сети публично озвучить и признать случившуюся проблему.
15 апреля
15-го получаем ответ. Запоминаем “приняли меры, чтобы подобное не повторилось”, в свою очередь, ещё раз настаиваю на публичном освещении проблемы.
27 апреля поступает ещё одно сообщение
1 мая
А 1-го мая, снова в воскресенье, сайты упали в ошибку, по опыту восстанавливаемся из резервной копии.
4 мая в первый рабочий день, в группе телеграм по CMS Joomla создал опрос о том были ли у кого-нибудь ещё проблемы в течение месяца с этим хостингом. Получил подтверждение проблемы ещё от 11 человек, при этом у 14 проблем не было. Учитывая, что за одним программистом стоят десятки клиентских сайтов, эта проблема уже коснулась сотни-другой сайтов.
Предварительный итог
Хостинг проводит сомнительные *эксперименты* с изменением файлов клиентских сайтов, тем самым вызывает фатальные ошибки — сайты перестают работать. Сайты даже в рамках одного клиента страдают не все, это может означать, что работает их скрипт по очереди и расписанию или, более циничный вариант — это какое-то тестирование нового функционала “наживую” за деньги и упущенную коммерческую выгоду получаемую клиентами от работы сайтов. Описанная проблема обнаружена в рамках одной CMS, но при таком подходе хостинга к внесению изменений в файлы исключить аналогичные проблемы на других cms и прочих сайтах нельзя. На текущий момент не застрахован ни один сайт у этого хостинг провайдера.
Место для вставки реферальной ссылки на другой шикарный хостинг — Но мы тут не за этим😎
P. S. А в пятницу, 6-го мая в рамках того же тикета поступило новое сообщение от поддержки
Ждём воскресенья и запасаемся попкорном!
UPD от 10 мая, один сайт в воскресенье 8-го всё же упал.
если коротко, то ваш сервер оказался под другой веткой репозитория и изменения, которые раскатали на всех, у вас и ещё нескольких серверов не применились
Представители компании пришли в комментарии, выражаю им благодарность за это и признали ситуацию замены файлов.
Комментарий удален модератором
Комментарий удален модератором
Когда мне приходит заказчик с этим хостингом, первое что я рекомендую - поменять его. Причины: 1. Работают на устаревшем Апаче. Уверяют при этом, что там что то супер, на самом деле просто устарелое. 2. Стараются продать платный сертификат, Lets Encrypt у них ненадежным считается. Этих причин мне хватает, так как первое это нестабильная и медленная работа сайтов, второе в некотором роде надувательство.
Что значит "устаревший Апаче"? Устаревший, как класс веб-сервера или просто устаревшая версия, которая у них крутится?
К этому можно приспособится, чтобы быть объективным:
1. На апач есть вроде решение, в поддержку просишь перенести сайт клиента на новые сервера там конфиги свежие.
2. "Денюжки" же, у них конечно "маркетологам" отдельный привет, что везде где можно предлагают платные услуги. Но это реалии бизнеса, а не благотворительность. За случайно подключённые услуги типо "защитник сайтов" деньги без проблем возвращают.
тоже с ними вечные проблемы испытывал
А LE надёжный?)) У которых каждые полгода отзыв корневых сертификатов.
Да, timeweb он такой.
А если не секрет, почему не VDS? Там только вы будете хозяином своих файлов
Свой vds есть, используется как тестовая среда.
Шаред подходит как способ делегировать с себя часть полномочий и не переживать по мелочам, крутятся клиенты каждый на своём аккаунте рабочий вполне вариант.
Ну и был опыт с vds ihor когда все рухнуло из-за разборок собственников, и пришлось сидеть караулить доступ и вытаскивать от туда кучу сайтов.
"дешееееевле жеее"
Как они и написали, это похоже на ложное срабатывание какого-то ПО типа антивирусов.
Такие же проблемы с ложными срабатываниями антиспам защиты. В результате важные письма могут блокироваться, а спам может таки приходить.
Технологии не идеальны.
К сожалению, на виртуальном хостинге, когда клиенты могут годами не обновлять свои CMS у хостера не так уж много вариантов - с одной стороны он должен заботиться о том, чтобы с хостинг аккаунта не производилось чего-нибудь злонамеренного. С другой - при ложных срабатываниях есть шансы на то, что работа сайтов будет ограничена или сайты станут совсем неработоспособны.
Осложняет ситуацию то, что обычно автоматически о такой проблеме клиенты не извещаются, техническая реализация не позволяет.
Главная проблема, ни один хостинг не имеет права трогать код и файлы, по этому и написал статью, не хочется в дивный новый мир *наступать*, где нет этого условия. И никакие благие намерения это не могут оправдывать.
А скрипт (антивирус) - это на самом деле хорошо. Нашли проблему: старая версия cms, вирус и т.д. Заблокировали сайт, написали клиенту.
А там уже клиент пускай сам устраняет уязвимости, потом пишет в поддержку, чтобы разблокировали.
Здравствуйте, на связи команда Timeweb
Хотели бы прокомментировать и помочь пользователям, которые могли столкнуться с похожей ситуацией.
Сразу отметим, что все проблемы локализованы, а наша поддержка всегда готова помочь вам.
За 5 с лишним лет (время предоставление услуги) десятки тысяч проектов были защищены от вредоносного вмешательства в файлы CMS, при этом все проекты продолжали работать в штатном режиме.
У нас обновленная система борьбы с вредоносными файлами, чтобы избежать полной блокировки сайта клиента. При обработке файла антивирусом — он добавляет его в карантин, а если файл cms с уязвимостью, то заменяет его на обновлённый из официального репозитория cms.
В частных случаях при обновлении файлов на cms joomla возникает некорректная работа. Не отрицаем, эта проблема случилась, это видно по скриншотам автора. Мы приняли меры, чтобы исправить нестандартную работу антивируса. Сейчас мы прорабатываем шаги, чтобы такого не повторилось.
Спасибо за понимание и доверие проектов, поддержка Timeweb всегда на связи для вас.
Простите, но как можно обновлять отдельные файлы CMS, если они зависят друг от друга? Плюс, клиент в этих файлах мог делать какие-то свои изменения (это нехорошая практика, но среди сайтов на WordPress и Joomla встречается часто), которые при замене просто будут утеряны.
Могли бы предоставить больше технической информации по тому, как система принимает решение по замене определенных файлов?
только как объясните, почему вы ввели эти кнопки, в духе "продлить ssl".
Что такое "защита сайтов"... ?
Да ладно вам отмазываться. В этом и проблема.
Дебил может шороха навести, я оч рад, что я шаред переношу.
спасибо за связанные акки. вы крутые.
Здравствуйте, команда Timeweb.
Спасибо, что дали развернутый комментарий. С вами работаю те самые 5 с лишним лет и сайты на CMS Joomla, кофе периодически пью из вашей фирменной кружки. Опыт с хостингом положительный, исключая описанную в статье ситуацию.
—-У нас обновленная система борьбы с вредоносными файлами, чтобы избежать полной блокировки сайта клиента.
До апреля месяца 2022 года с Joomla описанных в статье ситуаций в течение 5 лет не происходило. Исходя из этого можно предположить, что в работе вашего антивируса в этот момент были какие-то обновления, которые и привели к такому результату. Надеюсь работа над ошибками проведена и мы и дальше сможет работать на благо сайтов.
—- При обработке файла антивирусом — он добавляет его в карантин, а если файл cms с уязвимостью, то заменяет его на обновлённый из официального репозитория cms.
Практика замены файлов мне кажется не приемлемой ни при каких обстоятельствах. Прислать уведомление, а устранение исключительно силами клиента самостоятельно.
—-В частных случаях при обновлении файлов на cms joomla возникает некорректная работа.
Как и писал в поддержке. У joomla есть своя специфика с обновлениями. Приходе к нам в группу телеграм https://t.me/joomlaru общую по джумла, https://t.me/projoomla а тут собрался костяк практикующих программистов. Коллективно можно решать вопросы. Пользователи Joomla открыты и заинтересованы в надежном хостинг провайдере.
—-Сразу отметим, что все проблемы локализованы, а наша поддержка всегда готова помочь вам.
Статьи бы не существовало, если бы не нарушилась коммуникация. В поддержке не твердили про "карантин", а был получен ответ - "файлы попавшие под подозрение антивируса были обновлены".
И даже в случает со словам карантин, был предложен вариант публичного освещения проблемы в положительном свете что вы справились. В таком же положительном ключе как и ваш комментарий
Вы 5 лет ломаете сайты пользователям. Открываем Яндекс вводим таймвеб отзывы и вуаля.
Кидалы.
Комментарий недоступен
Это сделано намерено, чтобы в первую очередь обозначить проблему "файлы трогать нельзя" и попытаться предотвратить распространение, раз уговоры через поддержку не действуют, и проблема повторилась уже два раза и не только у моих клиентов.
Хостинг Timeweb
а разве в статье не написано, что это таймвеб?
Шикарная статья, спасибо. Буду показывать клиентам, которые жалуются в поддержку об отсутствии автоматической защиты от уязвимостией своих старых сайтов :)
Автоматически обнаруживать угрозы можно, ограничивать сайт с уведомлением клиенту тоже разумно. А вот что-то автоматом обновлять где есть зависимости плохая практика)
скоро дойдет до дебилов joomla/wordpress.
Кстати, можете ъхэйтить меня.
Яндекс.Метрика - самое стратегическое оружие нашей Великой страны!
Всех с великим праздником!
Люблю вас VC.
Зря Вы так. Можно было бы попробовать разобраться зачем обновляли. Просто в каждой CMS'ке периодически появляется новые уязвимость, с полным доступом к файлам, ну и к базе. Понятно, что хочется сделать сайт и забыть.
Но им тоже можно было предупредить чтобы не портить выходные.
Вообще не сказал бы, что у них все плохо cloud.timeweb.com выглядит интересно, хостингами не пользуюсь.
Alex, сразу после первого возникновения установил проблему, несколько файлов CMS Joomla изменили у нескольких отдельных клиентов таймвеба (учетных записей), указал на это поддержке, предложил до тех отдела донести инфу, что беда - нужно исправлять.
Через три неделе второй раз, также в воскресенье. Тоже самое, что и в первый раз произошло.
Сайты сдать и забыть не мой вариант. Мне их поддерживать приходится на протяжении жизни сайта. Поэтому все решения в рамках CMS Joomla которые применяю, стараюсь выбирать максимально надежные, чтобы работало всё долго и cчастливо😇
Таймвеб такой таймвеб… не дают покоя лавры макхоста видимо
Таймвеб плавно скатывается с 💩
Но вы отчасти и. сами виноваты. Держать в 2022 году серьёзные сайты на виртуальном хостинге - дикая дичь!
Статью нужно переименовать в: "Кто-то еще использует shared hosting в 2022".
Комментарий удален модератором
понять удаление как и помещение в карантин можно в случае, если по об этом будет уведомление клиента, а вот замена файлов это был для меня за годы новый опыт.
В свое время соскочил от них на Бегет. Там тп просто паиньки, помогали даже Django развернуть на shared хостинге)
Гитхаб - наше фсё.
А на счет выбора хостинга - рекомендую: https://vc.ru/life/390377-kak-vybrat-hosting-dlya-svoego-sayta
Василий, спасибо! Тезисы и критерии в статье звучат объективно.
Но очень сложно поверить в непредвзятость выводов статьи учитывая наличия в конце реферальных ссылок. А фразы "Доступные цены на домены (всего 179 рублей за домен в зоне .ru)" и "Кстати, сейчас при регистрации они дают месяц хостинга и SSL-сертификат бесплатно." заставляют задуматься, что это чисто коммерческая статья. А если посмотреть ваши комментарии https://vc.ru/u/74559-vasiliy-kolodin/comments то вопрос о коммерческой сути можно считать закрытым.
))
Ждумла, таймвеб, шаред, бизнес
Вычеркните лишнее
Вы норм.
Крутое название статьи, ничего не скажешь! Главное в точку! Причин и доказательств чтоб не пользоваться этим хостингом предостаточно!
А че сидим на тв раз есть "шикарный хостинг" ?) В чем смысл этой статейки? с хостингом вроде всё порешали, не ?
В 16 году тоже были проблемы с ними, оч запарили. Но вернулся спустя пару лет, поддержка решает.
Думал сарказм будет очевидный про "шикарный хостинг". В публичном поле когда пишут статьи в коммерческих целях и прикрепляют к статьям реферальные ссылки, чтобы заработать "чеканную монету" 😉