Аудит безопасности сайта
Что открыто наружу прямо сейчас и что можно сделать внутри: ядро, права, бэкапы, доступы, логи. Начните с бесплатной внешней проверки — она занимает 30 секунд.
Пассивная проверка: только GET-запросы к открытым страницам. Порты не сканируем, пароли не подбираем, найденное не используем против владельца.
Что показывает бесплатная проверка
Шесть групп проверок по внешнему контуру. Это не догадки: мы смотрим реальные ответы сервера и содержимое страниц.
Открытые служебные файлы
.env, .git/config, дампы базы, архивы бэкапов, phpinfo, .htpasswd — то, что боты скачивают в первые сутки после появления.
Версия PHP и CMS
Для веток PHP ниже 8.2 патчи безопасности больше не выпускают: сайт остаётся уязвимым бессрочно, даже если ничего не менять.
Сертификат и TLS
Срок, цепочка, устаревшие TLS 1.0/1.1, редирект с http — от перехвата данных и подмены страницы.
Заголовки безопасности
HSTS, CSP, X-Frame-Options, Referrer-Policy и флаги Secure/HttpOnly у cookies: от кликджекинга и кражи сессии.
Сторонние скрипты
Всё, что подключено с чужих доменов, и есть ли SRI. Через сторонний скрипт чаще всего и уводят данные карт.
Домен, DNS и почта
Срок регистрации, DNSSEC, SPF и DMARC — чтобы письма от вашего имени не уходили клиентам в спам и не подделывались.
Чего не видит сканер
Снаружи видно примерно треть проблем. Остальное — внутри, и туда нужен доступ.
- — какое ядро CMS и модули стоят, что обновлялось последним и чем именно рискует непропатченная версия;
- — права на файлы и конфиги: может ли веб-сервер писать туда, откуда исполняется код;
- — делаются ли бэкапы, где лежат и — главное — пробовали ли из них восстанавливаться;
- — кто имеет доступ в админку и на сервер, есть ли 2FA, остались ли учётки уволенных подрядчиков;
- — что в логах: попытки подбора, следы загрузки файлов, подозрительные cron-задачи;
- — ключи и пароли в коде, конфигах и git-истории — то, что не видно снаружи, но лежит в открытом виде внутри.
Что входит в аудит
- ✓Внешний периметр целиком, с историей: что менялось и когда
- ✓Разбор ядра CMS, плагинов и версии PHP
- ✓Права, доступы, 2FA, бэкапы и проверка восстановления
- ✓Список работ с приоритетом и оценкой в часах (4 000 ₽/ч)
- ✓Отчёт в PDF: что закрыть сегодня, что можно отложить
Как проходит аудит
Внешняя проверка
Сканируем сайт снаружи тем же движком, что на check.mikero.ru: до 70 проверок за 30 секунд, бесплатно и без доступов.
Разбор с доступом
Смотрим ядро, права, бэкапы, доступы и логи. Это ручная работа: 6–8 часов, 2 рабочих дня.
Отчёт и исправление
Список находок с приоритетом и оценкой в часах. Дальше по желанию: закрываем сами или отдаём вашей команде.
Сколько это стоит
Цена — это число часов по нашей открытой ставке 4 000 ₽/ч. Часы указаны в карточке, смета фиксируется до начала работ.
Аудит
- ✓Внешний контур: 67 проверок без доступов
- ✓Разбор ядра, прав, бэкапов и доступов
- ✓Список работ с приоритетом и часами
- ✓PDF-отчёт: что закрыть сегодня, что можно отложить
Закрытие критичного
- ✓Всё из аудита
- ✓PHP и CMS, открытые файлы, заголовки
- ✓Смена ключей и паролей
- ✓Повторная проверка и отчёт «было / стало»
После того как критичное закрыто: ежемесячная внешняя проверка, патчи до 3 рабочих дней, целевая реакция 2 часа в рабочие дни, 1 час работ в месяц.
Это не пентест и не гарантия неуязвимости. Мы находим конкретные проблемы и закрываем их; если работ больше типового объёма — скажем до начала и покажем смету.
Частые вопросы
Это законно — проверять сайт снаружи? +
Мы запрашиваем те же страницы и файлы, что доступны любому посетителю, и не сканируем порты. Свой сайт вы можете проверять как угодно; чужой — только с согласия владельца.
Нужен доступ к серверу? +
Для внешней части — нет, достаточно домена. Для полного аудита нужен доступ в админку CMS и SSH: без него не видно прав на файлы, бэкапов и логов.
Чем это отличается от пентеста? +
Пентест — попытка эксплуатации уязвимостей, его делают по договору и с окном работ. Аудит — обследование и список работ. Мы не подбираем пароли и не ломаем сайт.
Сайт уже взломали — поможет? +
Сначала восстановление из чистой копии и закрытие точки входа, потом аудит на остатки. Если следы загрузки есть в логах — покажем, когда и через что зашли.
А если вы ничего не найдёте? +
Тогда в отчёте будет список того, что проверили, и остаточные риски. Платить за «ничего не нашли» всё равно придётся: работа — это проверка, а не гарантированный результат.
Проверим ваш сайт
Напишите домен и что беспокоит — вернёмся с объёмом работ и ценой в тот же день.