Магазин працює місяцями без нарікань, а потім лист із замовленням падає клієнту в спам, у футері виринають посилання на казино, а хостер блокує акаунт за масову розсилку. Власник перебирає файли в пошуках вірусу і за годину виходить на модуль, який рік тому безкоштовно скачали з піратського ресурсу, який виглядав як звичайний сайт.
Що таке варез і навіщо його роздають безкоштовно
Варез (від wares) — це платні модулі й шаблони зі зламаним захистом, які поширюють без відома автора. Поставте собі просте питання: навіщо комусь витрачати час на злам ionCube, підтримку сайту з сотнями розширень і сервери для роздачі, щоб віддавати все це задарма? Ніхто цим з альтруїзму не займається. Монетизація вшита в самі файли.
Класична схема виглядає так. У код модуля додається щось на кшталт:
// catalog/controller/common/footer.php
eval(base64_decode('ZWNobyAnPGEgaHJlZj0i...'));
Зовні модуль працює як треба. А під капотом сидять приховані посилання для накрутки SEO чужих сайтів, збір даних, бекдор для завантаження файлів або скрипт розсилки спаму через вашу пошту. Функція eval() дозволяє виконати довільний код, і саме тому офіційна документація PHP прямо не рекомендує її використовувати. Пірати ж люблять її саме за це: рядок у base64 не знайдеш пошуком по файлах за словом «casino».
Чим це закінчується на практиці
Наслідки не теоретичні, кожен пункт нижче я бачив у живих магазинах.
Сторонній код і посилання. У футері або в шаблоні з'являються невидимі лінки на чужі ресурси. Часто їх видно лише в збереженій копії Google, бо для відвідувача вони приховані стилями. Google при цьому все бачить: позиції просідають, а ви місяцями не розумієте чому.
Спам через вашу пошту. Шкідливий скрипт розсилає листи через поштовий сервер магазину. Симптом: черга пошти на сервері забита тисячами листів, IP потрапляє в чорні списки, і навіть чесні листи про замовлення перестають доходити клієнтам. Витягти IP зі Spamhaus, до речі, окремий квест на кілька днів.
Жодної підтримки. З питанням по зламаному модулю до автора не звернешся: перевірка ліцензії покаже, що покупки не було, і вас просто заблокують. Оновлень теж не буде, тож із кожною новою версією OpenCart або PHP модуль перетворюється на бомбу сповільненої дії. Звісно якщо сплатити повну суму модулю, підтримка з'явиться.
Легший злам. Сайт із бекдором ламається без зусиль, причому факт зламу можна не помічати місяцями. Зловмисник не зацікавлений класти магазин: він тихо збирає дані або займається іншими шкідливими речами.
Як розпізнати піратський сайт
Досвідченому оку вистачає двох хвилин. Основні ознаки:
- Погугліть назву сайту. Про відомі піратські ресурси інформація часто спливає вже на першій сторінці пошуку.
- Розділ «Про нас». У піратів там загальні фрази про «команду досвідчених розробників» без портфоліо, імен і конкретики.
- Автори розширень. Сотні модулів різних розробників, а автор скрізь один або не вказаний взагалі. На легальному майданчику так не буває.
- Демо-сайти. Їх або немає, або посилання ведуть на справжні демо самих авторів, з яких і вкрали модуль.
- «VIP-акаунти» і підписки. Доступ до всіх розширень різних авторів за єдину плату на легальній площадці неможливий у принципі: автори на таке не підписувалися.
- Юридична інформація. Реальні реквізити пірати не вказують ніколи. У контактах лише e-mail і Telegram.
Є й зовсім очевидні маркери: слова «nulled», «складчина», «злив», «без ioncube» у розділах, вимога поставити лайк для завантаження, запаролені архіви з платним паролем, посилання на файлообмінники замість власного сервера. Побачили хоч одне, закривайте вкладку.
Перевірка за 10 секунд: warez.rip
Ознаки ознаками, але є спосіб простіший. У спільноті OpenCart з травня 2018 року працює некомерційний сервіс warez.rip: вводите адресу підозрілого маркетплейсу і одразу отримуєте вердикт. Проєкт веде учасник спільноти, відомий під ніком RGB, а базу наповнюють розробники, у яких ці модулі й крадуть.
Зараз у базі понад 220 піратських сайтів, і вона регулярно оновлюється. Рішення про додавання приймається за сукупністю ознак, враховується навіть історія домену: якщо сайт після потрапляння в базу змінив тематику, з бази він не зникне.
Дійте по наступному алгоритму: знайшли модуль на незнайомому сайті, спершу прогін через warez.rip, і лише потім усе інше. Це найшвидший фільтр із доступних.
Де купувати безпечно
Перевірених майданчиків насправді небагато, і їхній список добре відомий. Це офіційний маркетплейс OpenCart, кілька усталених локальних майданчиків (їхній перелік теж є на warez.rip у розділі «Легальні сайти») та особисті сайти розробників. Наш opencartcode.com входить до цього списку як маркетплейс від самих авторів доповнень.
І ще один аргумент, який чомусь рідко озвучують. Ціна модуля включає не лише код, а й підтримку та оновлення під нові версії OpenCart і PHP. Зламаний модуль позбавлений і того, і другого, тож «безкоштовний» він лише до першого оновлення платформи або першого зламу. Порахуйте, скільки коштує день простою магазину плюс робота спеціаліста з чистки, і економія на модулі за 20–30 доларів виглядає зовсім інакше.
Чек-лист перед покупкою модулів
- Прогнати адресу сайту через warez.rip.
- Подивитися юридичну інформацію та контакти: якщо там лише Telegram, це поганий знак.
- Якщо сайт особистий, написати автору напряму й підтвердити справжність.
