Пока вы не знаете о дырах, их уже нашли другие
Сайт стоит, работает, продажи идут — и кажется, что безопасность «не про нас». А потом однажды утром интернет-магазин редиректит на казино, из формы заявки утекают персональные данные, а в поиске сайт помечен «опасен». Между «кажется безопасно» и «уже взломали» стоит один шаг: аудит безопасности. Я делаю этот шаг за 3–5 дней и за вменяемые деньги.
Что реально взламывают в российских сайтах
Не хакеры из фильмов, а автоматические сканеры, которые обходят интернет круглосуточно. Вот где дыры бывают чаще всего:
- Админки с дефолтным паролем — /admin, /wp-login, /phpmyadmin открыты всему интернету, пароль admin/admin или 123456. Брутфорсер подбирает его за минуты.
- Устаревшие CMS и плагины — WordPress 5.x с незакрытыми уязвимостями, старые Joomla, самописные движки без обновлений годами. Эксплойты публикуются открыто.
- Открытые служебные порты — сервер торчит наружу не только 80/443: SSH, FTP, базы данных, панели хостинга. Сканируется массово, фоном.
- Утечки через формы — персональные данные клиентов уходят без шифрования, хранятся в открытых логах, доступ к базе без ограничения по IP.
- Отсутствие HTTPS / смешанный контент — браузер кричит «не защищено», форма на http внутри https-страницы, сертификаты с истёкшим сроком.
Один день простоя стоит дороже года защиты
Взломанный интернет-магазин — это не только «редирект на казино». Это потерянные заявки за дни простоя, минус в поисковой выдаче, испорченная репутация и расходы на восстановление с нуля. Аудит за 15–30 тысяч — это страховка от сценария, который обходится в разы дороже.
проверка: 1–5 запросов/сек · сайт не кладётся · robots.txt уважаю
Что входит в аудит
Как проходит сканирование
Автоматика снимает периметр и известные уязвимости за часы, дальше я подключаю ручную проверку: смотрю точки входа, которые сканер не видит — нестандартные формы, свою логику доступа, то, как сайт отвечает на «неудобные» запросы. Ложные срабатывания отсекаю, чтобы в отчёте не было мусора.
Как это проходит
Заявка
Вы присылаете адрес сайта и доступы, если нужны. Никаких анкет на 40 вопросов.
Сканирование
Автоматика + ручная проверка. Работаю деликатно: сайт не кладётся, темп запросов человеческий.
Анализ
Отсекаю ложные срабатывания, расставляю приоритеты по реальному риску для вашего бизнеса.
Отчёт + созвон
Документ на 5–15 страниц: находки, риски, план исправлений. Дальше — по желанию: чиню сам или отдаю вашему разработчику.
Чем я отличаюсь от «пентеста за 300 тысяч»
Классический пентест — это для банков и крупных компаний: недели работы, сертификат, отчёт на 80 страниц. Малому бизнесу нужен другой ответ: «где у меня дыры и что с этим делать, до конца недели». Я делаю облегчённый, но честный аудит: без галстуков, с человеческим языком в отчёте и конкретными ценами на исправление каждой находки.
Защита — это слои, а не одна кнопка
Один файрволл не спасёт, если пароль в админке «123456». Хорошая новость: дыры закрываются по одному слою за раз, и большинство из них — дешёвые и быстрые исправления. Мой отчёт показывает, какой слой тонкий, и с чего начать, чтобы закрыть риск за копейки, а не за полгода.
Сколько стоит
Частые вопросы
- А сайт не упадёт во время проверки? Нет. Работаю в деликатном режиме: 1–5 запросов в секунду, без брутфорса без спроса, только пассивный анализ и аккуратные пробы. Если нужна проверка паролей — согласовываем окно заранее.
- У меня самописный сайт, подойдёт? Да. CMS не важна: смотрю периметр, заголовки, формы, точки входа. Для самописных даже интереснее — там дыры нестандартные.
- Что если ничего не найдёте? Тогда вы получаете подтверждение, что сайт в порядке, и список того, что мониторить дальше. Платите за спокойствие, оно стоит дешевле, чем восстановление после взлома.
- А после аудита вы будете меня «подсесть на иглу»? Нет. Отчёт — ваш, план — ваш. Могу чинить, могу отдать вашему разработчику. Абонплата не навязывается, но есть опция повторного аудита раз в полгода со скидкой.