Безопасность и эксплуатация

Комплексный аудит безопасности сайта, сервера и инфраструктуры

Комплексный аудит безопасности сайта связывает в одной проверке приложение, сервер и внешний периметр. Мы смотрим, как посетитель, сотрудник, интеграция и администратор проходят через систему, где хранятся данные и какие компоненты доступны из интернета. Сканеры помогают собрать сигналы, а каждую значимую находку подтверждает ручной сценарий. В результате руководство видит реальные риски, техническая команда получает конкретные действия, а срочные исправления проходят повторный контроль.

Срок: 15 рабочих дней

Когда стоит обратиться

Обычно к нам обращаются в таких ситуациях:

Сайт связан с CRM, 1С, платёжными сервисами и облаком, а ответственность за безопасность распределена между несколькими подрядчиками.
Перед запуском личного кабинета или крупного обновления требуется проверить приложение вместе с сервером и внешними точками доступа.
Руководство хочет получить единый список реальных рисков вместо нескольких разрозненных сканирований и технических замечаний.

Что именно мы сделаем

Собираем архитектуру, домены, роли, критичные операции, интеграции и правила безопасного тестирования.

Картируем внешний периметр, серверные компоненты, CMS, API, хранилища, панели и доверительные границы.

Проводим ручные проверки авторизации, прав, данных, файлов, бизнес-логики, конфигурации и журналирования.

Подтверждаем находки воспроизводимыми сценариями, оцениваем влияние и согласуем срочные безопасные изменения.

Передаём два уровня отчёта, план исправлений и протокол повторного теста приоритетных пунктов.

Что входит в стоимость

89 900 ₽ за всю работу

Проверяем внешний периметр, домен, TLS, CDN, сервер, CMS или фреймворк, зависимости, административные панели, авторизацию, роли, сессии, формы, загрузку файлов, API, интеграции, хранение секретов, журналы и резервные копии. Авторизованные сценарии проходим с тестовыми ролями, а серверную часть сопоставляем с конфигурацией и доступным исходным кодом. Методика опирается на OWASP ASVS 5.0 и Web Security Testing Guide, после чего учитывает архитектуру конкретного проекта.

Что будет готово

Материалы

Передадим вам

Краткий отчёт для руководителя с главными сценариями риска, влиянием на бизнес и очередностью решений.
Технический реестр находок с URL, ролью, запросом, доказательством, затронутым компонентом и рекомендацией.
Карта периметра и доверительных границ, план исправлений и протокол повторной проверки приоритетных пунктов.

Проверка

Перед сдачей проверим

Каждая значимая находка воспроизводится выбранным способом и содержит достаточно данных для исправления командой разработки или эксплуатации.
Критичные функции проверены минимум с двумя ролями, а приложение, API и серверная конфигурация связаны в единой карте.
После выбранных срочных изменений исходные сценарии повторены, фактический статус отражён в итоговом реестре.

Как это выглядит на практике

Схема результата услуги «Комплексный аудит безопасности сайта, сервера и инфраструктуры»

Личный кабинет, API и сервер проверяются как одна система

01
Компания готовит новый кабинет, который получает договоры из CRM, принимает документы и показывает финансовые данные клиентов.
02
Карта выявляет тестовый поддомен, общий сервисный ключ, широкую роль API и скачивание документа по предсказуемому идентификатору.
03
Команда закрывает тестовый вход, разделяет ключи, добавляет серверную проверку владельца документа и полезные события в журнал.
04
Повторный контроль подтверждает закрытие исходных путей, а план фиксирует следующие улучшения сервера и резервирования.

Что понадобится для работы

От вас

Домены и тестовые адреса, схема систем, перечень критичных функций, ролей и допустимых тестовых операций.
Тестовые аккаунты, безопасный доступ к конфигурации, журналам, репозиторию и административным панелям по возможности.
Контакты владельцев приложения и инфраструктуры, сведения о релизах, интеграциях, резервных копиях и действующих средствах защиты.

Если у вас немного другая ситуация

Небольшие уточнения, которые помогают довести согласованный результат до рабочего состояния, уже учитываем в цене. Если по ходу работы появится отдельный крупный блок или понадобится платная лицензия, сначала обсудим варианты и стоимость. Расскажите о своей ситуации — подстроим план под неё.

Стоимость работ 89 900 ₽ полная стоимость известна заранее

3 000 ₽после подписания договора через Диадок
86 900 ₽после выполнения, демонстрации и приёмки результата

Предоплата входит в общую стоимость. Оставшуюся сумму оплачиваете после демонстрации и приёмки готовой работы.

Часто спрашивают

Об этой услуге

Чем комплексный аудит отличается от проверки сайта по OWASP?

Проверка веб-приложения входит в работу, а дополнительно рассматриваются домен, внешний периметр, сервер, облако, база, секреты, резервирование и связь всех компонентов.

Можно провести аудит работающего интернет-магазина?

Да. Согласуем тестовые товары, аккаунты, платежные сценарии и скорость запросов. Опасные операции выполняем в тестовом контуре либо заменяем безопасной проверкой логики.

Исправление найденных проблем входит в стоимость?

В стоимость входят выбранные срочные настройки и повторная проверка приоритетных изменений. Большую переработку кода или инфраструктуры оформим отдельным понятным этапом.

Какие стандарты используются при проверке?

Основу веб-проверок составляют OWASP ASVS 5.0 и Web Security Testing Guide. Серверные и облачные настройки сопоставляем с официальной документацией используемых продуктов.

Потребуется ли доступ к исходному коду?

Код усиливает качество проверки критичных функций и сокращает время поиска причины. При ограниченном доступе основную часть можно провести через приложение, конфигурацию и журналы.

Как защищаются данные во время аудита?

Используем тестовые аккаунты и обезличенные материалы, доступы передаются по выбранному защищённому каналу, а полученные файлы учитываются и удаляются после завершения работ.

Получит ли руководство понятный итог?

Да. Отдельное резюме связывает каждый высокий риск с возможным последствием, ответственным контуром и рекомендуемой очередностью действий без перегрузки техническими деталями.

Повторная проверка входит в результат?

Да. После выбранных срочных изменений повторяем ключевые сценарии и отражаем фактический статус в реестре, чтобы команда видела подтверждённый результат.

Цена и изменения по ходу работы

Цена на странице окончательная?

Да. Перед началом мы сверяем исходные данные и фиксируем результат в договоре. Указанная на странице сумма покрывает согласованную работу целиком, даже если её техническая реализация потребует больше времени, чем ожидалось при оценке.

Что означает резерв незапланированных работ?

Это уже включённый в цену запас времени на небольшие связанные уточнения заказчика, которые появляются после старта: например, добавить поле, изменить формат уведомления или учесть ещё одно условие обработки.

Резерв рассчитывается по формуле: стоимость услуги × 30% ÷ 1 500 ₽. Для услуги за 30 000 ₽ это 6 часов. Эти часы относятся только к дополнительным, заранее незапланированным уточнениям. Они не являются сроком проекта и не ограничивают время на основную работу: согласованный результат мы выполняем полностью.

Можно уточнять детали уже во время работы?

Да. Небольшие связанные изменения обычно помещаются во включённый резерв и не требуют доплаты. Если новая идея заметно меняет результат или превращается в самостоятельную задачу, сначала обсудим подход и стоимость. Любое решение согласуем до выполнения.

Начало работы и оплата

Как оформляются договор и оплата?

Подписываем договор через Диадок. Предоплата составляет 3 000 ₽ и входит в общую стоимость услуги. Остаток оплачивается после демонстрации и приёмки готового результата.

Когда начинается срок выполнения?

Срок отсчитывается после согласования задачи, получения необходимых доступов и материалов, подписания договора и поступления предоплаты. Конкретную дату старта и плановый день готовности подтверждаем перед началом.

Как учитываются платные лицензии и внешние сервисы?

До старта проверяем, нужны ли тарифы, лицензии, сертификаты или дополнительные ресурсы внешних систем. Если они потребуются, заранее покажем варианты и стоимость. По возможности аккаунты и лицензии оформляются сразу на заказчика.

Проверка результата и гарантия

Как принимается готовая работа?

Вместе проверяем согласованные сценарии на контрольных данных или тестовой копии, а затем демонстрируем результат. Для интеграций сверяем передачу данных и обработку ошибок, для сайта — работу нужных страниц и действий пользователя, для отчёта — расчёты и обновление данных.

Какая гарантия действует после сдачи?

На выполненные изменения действует гарантия 3 месяца. Если в изменённой нами части обнаружится ошибка нашей реализации, проверим и исправим её без дополнительной оплаты. Переданные материалы, настройки и код остаются у заказчика.

Следующие шаги по защите

Связанные работы выстроены в практическом порядке. Можно начать с текущей задачи или перейти к соседнему этапу.

Все услуги по безопасности сервера и инфраструктуры