Технический аудит веб-проекта

Что проверяю

• Структуру кода и архитектуру: насколько проект можно развивать
• Секреты в репозитории: ключи API, пароли, токены
• Авторизацию, роли и доступ к данным других пользователей
• Устаревшие и уязвимые зависимости
• Базу данных: схему, индексы, медленные запросы
• Деплой: как проект собирается и выкатывается, можно ли его повторить
• Бэкапы: есть ли они и восстанавливаются ли
• Хранение персональных данных: где лежат, как собирается согласие
• Скорость и базовые SEO-настройки для публичной части

Какие задачи бизнеса решает

• Принять проект у подрядчика и понять, за что вы заплатили
• Разобраться, что осталось после ушедшего фрилансера
• Оценить проект перед покупкой или инвестициями
• Понять, выдержит ли система рост пользователей
• Решить: дорабатывать текущий код или переписывать части

Когда нужен аудит

Перед приёмкой проекта у подрядчика — чтобы понять, что именно сделано и можно ли это поддерживать. После ухода разработчика — чтобы узнать, где лежит код, как проект выкатывается и какие есть риски. Перед масштабированием или вложениями — чтобы не строить новый функционал на проблемном фундаменте. И просто когда «что-то постоянно ломается», а причина неясна.

Безопасность в первую очередь

Чаще всего нахожу ключи и пароли прямо в репозитории, API без проверки прав (пользователь может получить чужие данные, поменяв ID в запросе), устаревшие пакеты с известными уязвимостями и открытые наружу базы данных. Такие проблемы отмечаю как критичные и объясняю, как их закрыть.

Деплой и бэкапы

Проверяю, можно ли собрать и развернуть проект по инструкции, а не только на ноутбуке прежнего разработчика. Смотрю, делаются ли резервные копии базы и файлов, где они хранятся и восстанавливались ли когда-нибудь. Отсутствие рабочих бэкапов — один из самых дорогих рисков.

Персональные данные

Смотрю техническую сторону 152-ФЗ: где хранятся данные пользователей и заявки, собирается ли и фиксируется ли согласие, не уходят ли данные в зарубежные сервисы. Юридическую оценку не делаю — это задача юриста, но технические проблемы покажу.

Что вы получите

Документ со списком найденных проблем, каждая — с описанием, почему это важно, приоритетом и примерной оценкой исправления. Отдельно — общий вывод: развивать проект дальше, исправить критичное и продолжать или переписывать отдельные части. Отчёт ваш: исправления можно заказать у меня или у любого другого разработчика.

Сроки и стоимость

Аудит небольшого проекта — от 3 000 ₽, обычно занимает несколько дней. Для крупных систем объём проверки согласуем заранее: можно проверить только безопасность или только готовность к масштабированию.

Примеры функционала

• Письменный отчёт на понятном языке, не только для разработчиков
• Проблемы разбиты по приоритету: критично, важно, желательно
• Примерная оценка трудозатрат на исправления
• Работаю с копией или доступом только на чтение
• Отчёт можно передать любому разработчику, не только мне

Как проходит разработка

1. 1.Согласуем цели аудита и что именно проверяем
2. 2.Получаю доступ на чтение к репозиторию и, при необходимости, к серверу и базе
3. 3.Разбираю код, конфигурацию, зависимости, деплой и данные
4. 4.Пишу отчёт с найденными проблемами, приоритетами и оценкой
5. 5.Созваниваемся, разбираем отчёт и отвечаю на вопросы

Используемые технологии

FAQ