Аудит безопасности сайта и проверка на уязвимости
Аудит безопасности сайта — проверка, через что сайт можно взломать: устаревшая CMS и плагины, открытые админки и тестовые копии, ошибки настройки сервера, ключи в коде, подделка писем от имени домена. Начинаем с бесплатного пассивного аудита — смотрим на сайт и компанию снаружи, как атакующий, без доступа к вашим системам. Найденное закрываем сами или вместе с вашими разработчиками.
Как проверяют сайт на уязвимости
Проверка идёт в два этапа. Пассивный аудит — по открытым данным: сайт, поддомены, почтовые настройки, сервисы, доступные из интернета, известные утечки. Он не требует доступа и никак не влияет на работу сайта, поэтому мы делаем его бесплатно. Активный аудит — с вашего разрешения, после договора и NDA: проверяем уязвимости на практике, смотрим права доступа, API и конфигурацию изнутри.
Большинство проблем — не сложные атаки, а то, о чём забыли: старый плагин, тестовая копия на поддомене, админка без второго фактора. В отраслевом списке рисков OWASP Top 10 2025 первые места занимают нарушение контроля доступа и ошибки конфигурации. Многие такие ошибки видны снаружи, и их показывает уже пассивная проверка.
Онлайн-сканер находит известные уязвимости версий и часть ошибок настройки, но не видит логику: может ли один покупатель открыть чужой заказ, можно ли отметить заказ оплаченным в обход платёжной системы. Это проверяет человек. Если сайт или приложение сделаны с помощью ИИ, посмотрите разбор типичных дыр вайбкода.
Когда это нужно
- Сайт давно не обновлялся: старая CMS и плагины, доступы бывших подрядчиков.
- На сайте появились чужие страницы, редиректы или спам, хостинг прислал предупреждение.
- От имени вашего домена приходят мошеннические письма клиентам и партнёрам.
- Сайт принимает оплату или хранит персональные данные, и вы не уверены, что они защищены.
- Сайт или приложение собраны на конструкторе или с помощью ИИ и скоро выходят к клиентам.
- Клиент, партнёр или тендер требуют подтвердить уровень защищённости.
Что входит в работу
- Пассивный аудит: что видно о сайте и компании снаружи — поддомены, открытые сервисы, почтовые записи, утечки
- Проверка CMS, плагинов и зависимостей на известные уязвимости и устаревшие версии
- Админка и доступы: второй фактор, ограничение попыток входа, лишние учётные записи, забытые доступы подрядчиков
- Сервер и хостинг: HTTPS, заголовки безопасности, открытые порты, служебные и тестовые страницы, резервные копии
- На активном аудите — логика прав и оплаты: видит ли пользователь чужие данные, подтверждается ли оплата на сервере
- Защита домена от поддельных писем: SPF, DKIM, DMARC
- Отчёт для руководителя и разработчиков: что нашли, насколько это критично, что исправили и что делать дальше
Сколько стоит
- Пассивный аудитбесплатно
Проверка по открытым данным: сайт, поддомены, почта, открытые сервисы, утечки. Без доступа к вашим системам.
- Быстрый запуск40–80 тыс. ₽≈ $500–1 000
Исправления по итогам проверки: обновления совместимых зависимостей, настройки доступа, устранение нескольких подтверждённых проблем.
- Развитие бизнеса120–320 тыс. ₽≈ $1,5–4 тыс.
Более объёмные исправления по результатам проверки. Состав фиксируем по отчёту аудита.
Активный аудит и пентест — по согласованному периметру, стоимость называем после бесплатного пассивного аудита. Крупные исправления — от 400 тыс. ₽ (≈ от $5 тыс.) по смете; переписывание авторизации и восстановление после взлома в базовый пакет не входят. Точную стоимость считаем после брифа и аудита.
Как работаем
01. Пассивный аудит
Смотрим на сайт и домен глазами атакующего по открытым данным и присылаем, что нашли. Бесплатно и без доступа к вашим системам.
02. Договор и NDA
Фиксируем периметр: какие сайты, поддомены и сервисы проверяем, в какое время и что трогать нельзя.
03. Активная проверка
Проверяем CMS, админку, права доступа, API и настройки сервера на практике — так, чтобы не мешать работе сайта.
04. Исправления и отчёт
Закрываем критичное, передаём отчёт с остальными рисками по приоритету. При необходимости регулярно проверяем снова.
Что мы уже сделали
Все работы-
Как ошибка в настройке маршрутизатора открыла внутреннюю сеть компании из интернета
Нашли ошибку конфигурации, из-за которой внутренний сегмент стал доступен из интернета, восстановили ход атаки и определили, на каких этапах защита не сработала. Передали рекомендации по сетевым настройкам, обновлениям и сегментации.
Смотреть кейс: Открытый сегмент -
Как забытый внутренний веб-сервис открыл атакующим путь во все предприятия корпорации
Восстановили цепочку атаки — от устаревшего веб-сервиса до контроля над доменом — и определили, на каких этапах защита не сработала. Передали рекомендации по мерам, которые закрывают этот сценарий.
Смотреть кейс: Захват домена -
Как одно фишинговое письмо закончилось выгрузкой корпоративной базы данных
Восстановили цепочку атаки — от письма сотруднику до выгрузки базы данных — и определили, на каких этапах защита не сработала. Передали рекомендации по защите почты, рабочих станций, учётных записей администраторов и исходящего трафика.
Смотреть кейс: Фишинговое письмо
Частые вопросы
Сколько стоит аудит безопасности сайта?
Пассивный аудит — бесплатно. Базовые исправления по его итогам — 40–80 тыс. ₽, более объёмные — 120–320 тыс. ₽. Стоимость активного аудита и пентеста называем после пассивного, по согласованному периметру.
Чем аудит безопасности отличается от пентеста?
Аудит ищет уязвимости и ошибки настройки и оценивает их критичность. Пентест — тестирование на проникновение: в согласованных рамках мы действуем как злоумышленник и показываем, куда на самом деле можно попасть.
Можно ли проверить сайт на уязвимости онлайн?
Онлайн-сканеры показывают известные уязвимости версий CMS и часть ошибок настройки — это полезный первый фильтр. Ошибки в логике прав, оплаты и доступа к данным они не находят: это проверяет человек.
Проверка не сломает сайт?
Пассивный аудит ваши системы не затрагивает. Активные проверки проводим в согласованное время и в оговорённых рамках, а всё, что может повлиять на работу сайта, согласуем заранее.
Что делать, если сайт уже взломали?
Сменить пароли и ключи доступа и не удалять журналы сервера до разбора. Мы находим точку входа, закрываем её и помогаем восстановить работу; если утекли персональные данные, по 152-ФЗ нужно уведомить Роскомнадзор в течение 24 часов.
Нужен ли аудит, если сайт сделан на конструкторе или с помощью ИИ?
Да, если сайт принимает деньги или хранит персональные данные. В таких проектах часто встречаются открытые базы данных и ключи в коде страницы, а за утечку отвечает владелец, а не конструктор.
Вы раскрываете, что нашли на нашем сайте?
Нет. До активных работ подписываем NDA, а кейсы на сайте публикуем обезличенно — без названий компаний и деталей инфраструктуры.
Что создадим вместе?
Расскажите, что хотите запустить или улучшить. Обсудим задачу и предложим следующий шаг.