Аудит безопасности сайта и API
30 000 – 90 000 ₽ разово
Технический разбор кода и конфигурации сайта на реальные, а не гипотетические риски: что публично доступно, что устарело, что можно перебрать или обойти. Так я закрывал найденные уязвимости на этом сайте и на соседнем своём проекте.
Содержание
Что входит
- Проверка публично доступных API на утечку внутренних данных (адреса серверов, служебные идентификаторы)
- Проверка зависимостей на известные уязвимости (npm audit и аналоги) и актуальность версий фреймворка
- Заголовки безопасности ответа сервера: HSTS, CSP, X-Frame-Options, X-Content-Type-Options и т.д.
- Защита форм и админ-панели от перебора и спама: rate-limiting, honeypot, задержки, блокировки
- Проверка, что rate-limit считает реальный IP клиента, а не общий адрес прокси/докер-сети
- Поиск секретов и токенов, случайно оставленных в коде или конфигурации
- Итоговый отчёт с приоритетами: что критично закрыть в первую очередь
Кому подходит
- Сайтам и сервисам с формами, личным кабинетом или админ-панелью, которые никогда не проверялись на безопасность
- Бизнесу, у которого есть публичные API и нет уверенности, что через них ничего лишнего не видно
- Тем, кто давно не обновлял зависимости и не уверен, есть ли среди них критичные уязвимости
С кем не работаю
- Разовые задачи без готовности обсудить их на созвоне
- Проекты без внятного бюджета или сроков хотя бы вилкой
- Заказы, требующие серых схем или обхода закона
- Ожидание уровня агентства из 20 человек по цене одного специалиста
Как проходит работа
1. Заявка
- Оставляете контакты и краткое описание задачи через форму или AI-чат
2. Созвон/ТЗ
- Обсуждаем задачу и контекст бизнеса
- Фиксируем объём, сроки и бюджет
- Готовлю письменное ТЗ
3. Разработка
- Пишу код и тесты
- Регулярные промежуточные демо, чтобы не было сюрпризов в конце
4. Запуск
- Деплой в прод
- Проверка на реальных данных перед полным переключением
5. Поддержка
- Мониторинг и быстрые правки
- Развитие функциональности по мере роста бизнеса
Условия работы
Поэтапная оплата
Аванс на старте, остальное — по мере сдачи этапов. Без 100% предоплаты за весь проект.
Промежуточная сдача
Каждый этап — рабочий результат, который можно проверить, а не абстрактный процент готовности.
Изменение объёма
Если задача меняется в процессе — пересчитываем сроки и бюджет письменно, до продолжения работы, а не постфактум.
Стек
- OWASP
- npm audit
- Заголовки безопасности
- Rate-limiting
Частые вопросы
Это пентест?
Нет — это технический аудит кода и конфигурации, а не полноценное тестирование на проникновение с попытками эксплуатации уязвимостей. Честно разграничиваю ожидания: аудит находит и объясняет риски, а не имитирует атаку.
Дадите гарантию, что сайт не взломают?
Нет, абсолютных гарантий в безопасности добросовестно не даёт никто — это касается и аудита. Задача — закрыть реальные, найденные риски и снизить вероятность типовых атак, а не выдать сертификат неуязвимости.
Нужен доступ к серверу?
Часть аудита (заголовки, публичные API, открытые эндпоинты) можно сделать без доступа. Более глубокая проверка (зависимости, конфигурация сервера, код) требует доступа — с согласия и под контролем владельца.
Вы также чините найденное или только показываете отчёт?
По умолчанию — отчёт с приоритетами. Внедрение правок можно добавить отдельным этапом; его объём зависит от числа и сложности находок, поэтому оценивается уже после отчёта.
Сколько это стоит и сколько занимает?
Ориентир по цене — в начале страницы; точная стоимость и срок зависят от размера сайта и наличия бэкенда/API и уточняются на созвоне.
Смотрите также
Другие услуги
- Telegram-боты
aiogram, Mini Apps, платежи, интеграция с вашими системами.
- CRM-интеграции
Синхронизация учёта, автоматизация заявок, кастомные CRM-модули.
- Сетевая инфраструктура
Сетевая инфраструктура, серверы, деплой, мониторинг, безопасность.
- Мониторинг конкурентов
Автосбор цен, рейтингов и позиций конкурентов на Avito и маркетплейсах, регулярные отчёты вместо ручного просмотра карточек.
- Автоматизация аренды
Единый календарь бронирований, конкурентный анализ цен и автосообщения гостям для владельцев и управляющих компаний в аренде жилья.
- Разработка сайтов
Лендинги, корпоративные сайты, интернет-магазины, веб-сервисы — на Next.js, без шаблонных конструкторов.
Кейсы
Обсудим вашу задачу
Первая консультация бесплатная. Расскажите, что нужно сделать — вернусь с вопросами или планом в течение дня.