Аудит CDN и кеша на утечку данных
Аудит CDN и кеша на утечку данных показывает, какие ответы сайт складывает в общий кеш и как отличает гостя от авторизованного покупателя. Особое внимание уделим кабинету, корзине, checkout, B2B-ценам, документам и API. Исправим заголовки и правила CDN, уточним cache key, очистим затронутые объекты и повторим один и тот же путь двумя независимыми сессиями.
Когда стоит обратиться
Обычно к нам обращаются в таких ситуациях:
- После включения общего кеширования отдельный покупатель эпизодически видит чужое имя, содержимое корзины, скидку или договорную цену, а повторить событие в одной сессии трудно.
- B2B-портал отдаёт один URL товара с разными условиями по компании, роли, региону и валюте, а CDN строит ключ только по host и path.
- CMS, Nginx и CDN настраивали разные специалисты, поэтому origin отправляет один набор Cache-Control, edge-rule его переопределяет, а браузер хранит третий срок.
Что именно мы сделаем
Рисуем цепочку CMS, reverse proxy, CDN и браузерного кеша.
Выделяем кабинет, корзину, цены, документы и персональные API.
Проверяем заголовки, cache key, cookie, query и спорные пути.
Настраиваем private, no-store, bypass и точечную очистку.
Повторяем сценарии гостя и двух разных пользователей.
Что входит в стоимость
29 900 ₽ за всю работу
Строим карту уровней кеша и персонализированных маршрутов, снимаем Cache-Control, CDN-Cache-Control, Vary, Set-Cookie, Age и служебные заголовки провайдера. Проверяем cache key, cookies, query, host, язык, валюту и роли, воспроизводим cache deception и poisoning на безопасных данных. Настраиваем private, no-store, bypass, правила ключа и очистки, затем повторяем тесты гостя и двух аккаунтов.
Что будет готово
Передадим вам
- Карта уровней кеша и перечень публичных, персональных и спорных маршрутов с используемыми cookies, query, заголовками и ожидаемым cache status.
- Исправленные origin-заголовки и CDN/reverse-proxy rules для private, no-store, bypass, cache key, TTL и точечного purge.
- Протокол тестов гостя и двух ролей, доказательства изоляции, инструкция проверки нового кабинета и порядок безопасной очистки выбранного объекта.
Перед сдачей проверим
- Кабинет, checkout, персональная цена и документ получают выбранные private или no-store, а сессия Б после запроса сессии А видит только собственные данные.
- Публичная статика и выбранные общие страницы продолжают давать HIT, спорный путь cache deception остаётся динамическим, а влиятельный заголовок учитывается либо очищается.
- Точечный purge удаляет нужный объект, повторный запрос получает ожидаемый MISS и новый ответ, все контрольные заголовки и статусы сохранены в отчёте.
Как это выглядит на практике
Индивидуальная цена оптового покупателя
- 01
Карточка товара имеет один URL, а цена зависит от договора; CDN сохраняет первый авторизованный ответ как общий объект и показывает его следующей сессии.
- 02
Выделяем cookie авторизации и контекст компании, ставим обход общего кеша для персональной цены и задаём private для ответа кабинета.
- 03
Очищаем прежние ключи, открываем карточку гостем и двумя контрагентами, сравниваем цену, тело, Age и cache status.
- 04
Гость получает розничную цену, каждый контрагент видит свой договор, а изображение и публичное описание продолжают обслуживаться из CDN.
Что понадобится для работы
От вас
- Доступ к CDN, reverse proxy и заголовкам origin, экспорт действующих cache rules и возможность выполнить точечный purge.
- Два тестовых аккаунта с разными ролями или ценами, перечень персонализированных страниц, API, документов и cookies.
- Контрольные товары, корзины и файлы, окно для изменения правил, доступ к логам CDN и приложения при наличии.
Если у вас немного другая ситуация
Небольшие уточнения, которые помогают довести согласованный результат до рабочего состояния, уже учитываем в цене. Если по ходу работы появится отдельный крупный блок или понадобится платная лицензия, сначала обсудим варианты и стоимость. Расскажите о своей ситуации — подстроим план под неё.
- 3 000 ₽после подписания договора через Диадок
- 26 900 ₽после выполнения, демонстрации и приёмки результата
Предоплата входит в общую стоимость. Оставшуюся сумму оплачиваете после демонстрации и приёмки готовой работы.
Часто спрашивают
Об этой услуге
Снизится ли скорость сайта после исправления правил?
Публичные страницы и статика сохранят полезный кеш. Обход или разделение применяем только к ответам, где содержание зависит от пользователя, компании или корзины.
Проверяется ли внутренний кеш самой CMS?
Да. Прослеживаем один ответ через приложение, reverse proxy, CDN и браузер, потому что смешение сессий способно возникнуть на любом из этих уровней.
Как воспроизводится редкий показ чужой корзины?
Используем независимые профили браузера, заданную последовательность запросов и сравнение служебных заголовков, чтобы увидеть момент сохранения и выдачи объекта.
Можно ли кешировать разные B2B-цены?
Да, при надёжном разделении ключа по проверенному ценовому контексту. Выбранную схему подтверждаем двумя компаниями и отдельным гостевым запросом.
Как проверить новый раздел личного кабинета?
В инструкции будет короткий сценарий: заголовки origin, cache status, два аккаунта, прямой файл, очистка ключа и проверка повторного ответа.
Что такое cache key и почему он может вызвать утечку?
Cache key определяет, какие запросы CDN считает одинаковыми. Если в нём отсутствует важная cookie, роль или параметр, ответ одного пользователя может быть выдан другому. Мы проверяем фактический ключ и правила обхода кеша.
Проверяются ли ошибки, редиректы и ответы 304?
Да. Кроме обычных страниц проверяем согласованные ответы ошибок, редиректы, условные запросы и отдельные варианты контента. Чувствительные данные иногда попадают в кеш именно через редкий ответ.
Можно проверить cache deception через нестандартный URL?
Да. Проверяем пути с расширениями, лишними сегментами, разделителями, кодированием и параметрами, затем смотрим, какой ответ сохранил каждый уровень кеша. Персональные маршруты остаются динамическими при каждом варианте URL.
Цена и изменения по ходу работы
Цена на странице окончательная?
Да. Перед началом мы сверяем исходные данные и фиксируем результат в договоре. Указанная на странице сумма покрывает согласованную работу целиком, даже если её техническая реализация потребует больше времени, чем ожидалось при оценке.
Что означает резерв незапланированных работ?
Это уже включённый в цену запас времени на небольшие связанные уточнения заказчика, которые появляются после старта: например, добавить поле, изменить формат уведомления или учесть ещё одно условие обработки.
Резерв рассчитывается по формуле: стоимость услуги × 30% ÷ 1 500 ₽. Для услуги за 30 000 ₽ это 6 часов. Эти часы относятся только к дополнительным, заранее незапланированным уточнениям. Они не являются сроком проекта и не ограничивают время на основную работу: согласованный результат мы выполняем полностью.
Можно уточнять детали уже во время работы?
Да. Небольшие связанные изменения обычно помещаются во включённый резерв и не требуют доплаты. Если новая идея заметно меняет результат или превращается в самостоятельную задачу, сначала обсудим подход и стоимость. Любое решение согласуем до выполнения.
Начало работы и оплата
Как оформляются договор и оплата?
Подписываем договор через Диадок. Предоплата составляет 3 000 ₽ и входит в общую стоимость услуги. Остаток оплачивается после демонстрации и приёмки готового результата.
Когда начинается срок выполнения?
Срок отсчитывается после согласования задачи, получения необходимых доступов и материалов, подписания договора и поступления предоплаты. Конкретную дату старта и плановый день готовности подтверждаем перед началом.
Как учитываются платные лицензии и внешние сервисы?
До старта проверяем, нужны ли тарифы, лицензии, сертификаты или дополнительные ресурсы внешних систем. Если они потребуются, заранее покажем варианты и стоимость. По возможности аккаунты и лицензии оформляются сразу на заказчика.
Проверка результата и гарантия
Как принимается готовая работа?
Вместе проверяем согласованные сценарии на контрольных данных или тестовой копии, а затем демонстрируем результат. Для интеграций сверяем передачу данных и обработку ошибок, для сайта — работу нужных страниц и действий пользователя, для отчёта — расчёты и обновление данных.
Какая гарантия действует после сдачи?
На выполненные изменения действует гарантия 3 месяца. Если в изменённой нами части обнаружится ошибка нашей реализации, проверим и исправим её без дополнительной оплаты. Переданные материалы, настройки и код остаются у заказчика.
Следующие шаги по защите
Связанные работы выстроены в практическом порядке. Можно начать с текущей задачи или перейти к соседнему этапу.
- 01Аудит CDN и кеша на утечку данных
Проверить CDN и уровни кеша
- 02Защита скачивания документов на сайте
Закрыть выдачу персональных файлов
- 03Закрытие прямого доступа к серверу за Cloudflare
Перекрыть обход CDN