Сайт открылся красным экраном
Автопродление сертификата сломалось тихо, месяц назад. Посетитель не читает, что написано в предупреждении браузера, — он закрывает вкладку.
Технический аудит сайта онлайн
Технический аудит сайта — до того, как он встанет
Сертификат кончится, домен не продлят, сайт ляжет ночью, а письма от вашего имени уйдут клиентам с чужого сервера — и владелец узнает об этом последним. Мы смотрим за этим каждый день и пишем заранее, а в задании подрядчику даём готовые строки для настроек.
Сроки — за 30, 14, 7 и 1 деньПадение — после двух неответов подрядЗначения для вставки — готовой строкой
Знакомо?1 2 3
Сайт ломается там, куда никто не смотрит
Код сайта меняют и проверяют. Сроки, записи в зоне домена и настройки сервера — нет: они работают, пока однажды не перестанут, и сообщают об этом посетители.
Домен отключили вместе с почтой
Карта, привязанная к регистратору, была у сотрудника, который ушёл. Письмо о продлении приходило — ему.
Клиенту пришёл счёт «от вас»
SPF на домене есть, но кончается на «+all» и пропускает письмо с любого сервера. Выглядит защитой — защитой не является.
Как это работает
Четыре работы, которые больше не нужно помнить
Следить за сроками
Сертификат и домен сверяем каждый день и пишем за 30, 14, 7 и 1 день — тому, кто отвечает за сайт.
Было: напоминание в календаре того, кто уволилсяЗнать, что сайт лежит
Главную открываем раз в десять минут. Два неответа подряд — письмо, и сверка со второго сервера: лежит сайт или связь.
Было: звонок клиента в девять утраЗакрыть почту от подделки
SPF, DMARC и DKIM домена: не только есть ли запись, но и запрещает ли она что-нибудь.
Было: «SPF у нас есть» — с хвостом +allПоставить задачу
Техправки файлом: что стоит сейчас и что поставить — готовыми строками для настроек сервера и зоны домена.
Было: пересказ админу своими словамиЧто в отчёте
Технический отчёт — то, что читает подрядчик
Адрес поля, имя cookie, значение заголовка: подрядчику нужен не вывод, а то, что поменять. Отчёт — факты о сайте на дату обхода; в нарушения по закону они не входят.
Сертификат, домен, соединение
Сколько дней осталось, кто выдал, какие имена покрывает, признают ли его все браузеры или только с российским корнем. Регистратор и дата оплаты домена. Уводит ли http на https.
Доступность
Доступность за 30 дней и за год, минуты простоя, медиана ответа и её рост против обычного. Каждое падение — происшествием: сколько длилось и с какой ошибкой.
Почта домена
SPF: есть ли и не пропускает ли всех. DMARC: есть ли и велит ли отклонять подделку. DKIM — по известным селекторам; не ответил ни один — говорим «не проверили», а не «подписи нет».
Заголовки защиты и протокол
HSTS, CSP, X-Frame-Options, X-Content-Type-Options — со строкой, которую вставить. Версия сервера, видная снаружи, и устаревшие TLS 1.0 и 1.1.
Главная и технологии
Отдаёт ли сервер страницу или её собирает скрипт, куда ведут переадресации, не уводит ли страница посетителя скриптом. CMS, сервер, CDN, счётчики, чаты и формы — по 23 разделам.
Формы и cookie
Каждая форма по страницам: поля, галочка согласия, куда уходит. Каждая cookie: кто ставит, на сколько дней, флаги Secure, HttpOnly и SameSite.
Открытые файлы — после подтверждения домена
Не лежат ли в открытом доступе настройки и копии: .git, .env, дамп базы, архив сайта, phpinfo. Это уже стук в чужую дверь, поэтому только для своего домена: подтверждаете владение записью в DNS, файлом или метатегом, и проверка запускается кнопкой — не больше 24 запросов.
Что бесплатнобесплатно, после входа подписка · от 2 490 ₽ в год
Снимок — бесплатно, отчёт и наблюдение — с подпиской
Кабинет один на оба отчёта: технический открывается вкладкой рядом с проверкой по закону, и подписка на сайт открывает обе.
Снимок сайта
- сроки сертификата и домена, переадресация на https
- чем собран сайт: сервер, движок, CMS
- счёт находок по безопасности, SEO, технике и UX
Отчёт целиком и наблюдение
- все находки с адресами и готовой правкой, задание подрядчику файлом
- доступность раз в десять минут, взлом главной, чёрные списки
- письма за 30, 14, 7 и 1 день до конца сертификата и домена
- SEO-отчёт по шаблонам и проверка по закону — в той же цене
После аудита
Пишем раньше, чем позвонит клиент
Письмо — на почту или в Telegram, тому, кто отвечает за сайт. Сайт целиком обходим заново раз в неделю на тарифе «Сайт», с «Бизнеса» — каждый день; доступность и сроки — для всех тарифов одинаково.
- Сайт не отвечаетПишем сразу после двух неответов подряд — с ошибкой и с тем, открывается ли сайт со второго сервера за границей.
- Главная увела на чужой сайтПишем сразу: для посетителя сайта нет так же, как если бы он не ответил.
- Сайт снова открываетсяСледом за первым: когда поднялся и сколько лежал.
- Срок сертификата или домена кончаетсяЗа 30, 14, 7 и 1 день: что кончается, когда и у какого регистратора или центра.
Честно до оплаты
Чего в этом аудите нет
Мы смотрим сайт снаружи — так же, как посетитель, браузер и почтовая служба получателя. Без доступа к серверу. Поэтому всё, что видно только изнутри или только под нагрузкой, — не к нам.
- нагрузочное тестирование
- поиск уязвимостей в коде и подбор паролей
- антивирусная проверка файлов на сервере
- скорость каждой страницы — меряем только главную
- позиции в выдаче, частотности и ссылки на сайт
- база, доступы и журналы сервера
Цена
Сколько стоит технический аудит сайта
Технический отчёт входит в любую подписку — вместе с проверкой по закону и SEO-отчётом. От 2 490 ₽ в год за сайт со всеми поддоменами. Тарифы различаются числом доменов и тем, как часто мы обходим сайт.
Сайт
2 490 ₽
в год
- 1 домен со всеми поддоменами
- проверяем раз в неделю
- Один свой сайт под наблюдением.
Бизнес
Популярный4 990 ₽
в год
- до 3 доменов со всеми поддоменами
- проверяем каждый день
- Основной сайт, лендинги и магазин — до трёх.
Студия
24 900 ₽
в год · или 2 490 ₽ в месяц
- до 10 доменов со всеми поддоменами
- проверяем каждый день
- Клиентские сайты по папкам — до десяти.
Агентство
99 000 ₽
в год · или 9 900 ₽ в месяц
- до 50 доменов со всеми поддоменами
- проверяем каждый день и на деплой
- Полсотни клиентских сайтов, ключ API в свою панель и загрузка адресов пачкой.
Экспресс — бесплатно, без регистрации
Сколько у вас нарушений и насколько это серьёзно. Без разделов и формулировок.
Больше 50 доменов — договор от 300 000 ₽ в год
Сайтов без лимита, единый вход (SSO), срок хранения снимков и сроки реакции по договору, инцидент-режим при утечке, документы под подпись, живой юрист. Доказательный пакет для проверки — позже, состав обсуждаем.
Что входит в каждый тариф и чем они различаются
SEO-аудит сайтаОшибки в шаблонах страниц, robots.txt, noindex и карта сайта — в той же подписке.
Вопросы
Технический аудит сайта: частые вопросы
Что входит в технический аудит сайта?
Сроки сертификата и домена, соединение и переадресация на https, записи почты домена — SPF, DKIM и DMARC, — доступность и время ответа, заголовки защиты и версии протокола, устройство главной страницы, технологии сайта, формы и cookie. Для своего подтверждённого домена — ещё и проверка открытых файлов: .git, .env, дампы и архивы.
Что я увижу бесплатно?
Снимок сайта на вкладке «Технический»: сроки сертификата и домена, переадресацию на https, чем собран сайт, сколько находок по безопасности, SEO, технике и UX — и две из них целиком, самую тяжёлую по безопасности и по SEO, с тем, что мы увидели и что сделать. Регистрация для этого не нужна.
Сколько стоит технический аудит сайта?
Отдельной цены нет: технический отчёт входит в любую подписку вместе с проверкой по закону и SEO-отчётом. Тарифы различаются числом доменов и частотой полного обхода. Цены — в блоке «Цена» на этой странице.
Как часто вы проверяете, что сайт работает?
Главную открываем раз в десять минут. После двух неответов подряд пишем — и сверяем со второго сервера за границей, чтобы отличить лежащий сайт от сбоя связи. Когда сайт поднимется, напишем, сколько он лежал.
Проверяете SPF, DKIM и DMARC?
Да. SPF — есть ли и не кончается ли на «+all» или «?all», которые пропускают письма с любого сервера. DMARC — есть ли и не стоит ли «p=none», с которым подделку доставляют как обычное письмо. DKIM ищем по известным селекторам: если ни один не ответил, говорим «не проверили», а не «подписи нет», — селектор придумывает почтовая служба.
Это пентест?
Нет. Мы смотрим то, что видно снаружи: заголовки ответа, версии протокола, версию сервера в ответе. Открытые файлы проверяем только для подтверждённого домена и не больше чем 24 запросами. Код, базу, доступы и журналы сервера не смотрим.
Нужен ли доступ к серверу или хостингу?
Не нужен. Всё читается снаружи — по адресу сайта и по записям его домена. Доступ не нужен и для проверки открытых файлов: там достаточно подтвердить, что домен ваш.
Проверьте свой сайт
Бесплатно и без доступа к серверу. Снимок — после входа, отчёт целиком — с подпиской.