Аудит безопасности сайта показывает, где сайт уязвим сегодня и что исправлять первым. Мы проверяем CMS, плагины, сервер, шифрование, формы, доступы и резервные копии, вручную подтверждаем каждую находку и передаём отчёт с приоритетами. По желанию исправляем найденное сами и проверяем ещё раз.
Что проверяем при аудите
Аудит охватывает всё, что злоумышленник видит из интернета, плюс настройки, к которым вы даёте нам доступ. В итоге вы знаете, какие компоненты устарели, какие настройки открывают брешь и поднимется ли сайт после сбоя.
Что смотрим:
- CMS и расширения. Версии WordPress, Bitrix, Joomla, Drupal или OpenCart, каждый плагин и тема, компоненты, которые разработчик больше не поддерживает.
- Сервер и хостинг. Версия PHP, открытые порты, листинг каталогов, права на файлы, доступы к панели хостинга, SSH и базе данных.
- Шифрование и заголовки. Версии TLS и сертификат, перенаправление на HTTPS, заголовки Content-Security-Policy и Strict-Transport-Security, флаги HttpOnly и Secure у cookie.
- Вход, загрузка файлов, формы. Ограничение попыток входа, двухфакторный вход для администраторов, допустимые типы файлов, защита форм от ботов.
- Домен и почта. Записи SPF, DKIM и DMARC, чтобы никто не рассылал фальшивые счета от имени компании.
- Резервные копии. Где лежат, отделены ли от рабочего сервера, работает ли восстановление на практике.
По каким стандартам проверяем
Каждую находку мы привязываем к опубликованному требованию, которое ваш разработчик может прочитать сам. Основа — документы OWASP и статья 32 GDPR для компаний с клиентами в ЕС.
| Стандарт или норма | Что это значит для сайта | Источник |
|---|---|---|
| OWASP Top 10:2025 | десять категорий рисков веб-приложений, от A01 Broken Access Control до A10 Mishandling of Exceptional Conditions | OWASP |
| A02:2025 Security Misconfiguration | учётки по умолчанию, отладочный вывод, лишние службы | OWASP Top 10:2025 |
| A03:2025 Software Supply Chain Failures | уязвимые и заброшенные плагины, темы, библиотеки | OWASP Top 10:2025 |
| A07:2025 Authentication Failures | слабые пароли, вход без ограничения попыток, нет второго фактора | OWASP Top 10:2025 |
| OWASP ASVS 5.0.0 | перечень требований к проектированию, разработке и тестированию веб-приложений, вышел 30 мая 2025 года | OWASP ASVS |
| OWASP WSTG 4.2 | методика тестирования безопасности веб-приложений, текущая стабильная версия | OWASP WSTG |
| Статья 32(1)(d) GDPR | регулярное тестирование и оценка эффективности мер защиты | Регламент (ЕС) 2016/679 |
Сканирование на уязвимости и ручная проверка
Автоматическое сканирование сайта на уязвимости открывает аудит. Ручная проверка превращает сырой список срабатываний в отчёт, по которому можно работать.
Сканер выдаёт много предупреждений, безопасных в вашей конфигурации, и пропускает связи между элементами: свежий плагин, который тем не менее принимает любые файлы; администратора от прежнего подрядчика, которого никто не удалил; архив с бэкапом в публичной папке. Мы сверяем каждое срабатывание с реальной установкой, убираем ложные и добавляем то, что инструменты не видят.
Проверяем только системы, владелец которых подписал письмо о рамках работ. Если сайт стоит у стороннего хостера или агентства, сначала уточняем, разрешают ли их условия проверку безопасности.
Отчёт и порядок исправлений
Вы получаете отчёт, где каждая подтверждённая уязвимость описана, оценена по опасности и поставлена в очередь. Руководитель читает краткую версию, разработчик работает с техническим приложением.
В отчёте:
- краткое резюме простым языком: в каком состоянии сайт и что срочно;
- каждая находка с доказательством, затронутым компонентом и уровнем опасности;
- три приоритета: исправить сегодня, в этом месяце, позже;
- конкретные действия по каждой находке, понятные вашей команде или подрядчику;
- состояние резервных копий и результат тестового восстановления, если оно входит в работу.
Отчёт принадлежит вам. Его можно показать специалисту по защите данных, страховщику или клиенту, который требует подтверждения проверки.
Исправления и повторная проверка
После отчёта мы исправляем найденное сами или вместе с вашим разработчиком. Затем проверяем те же места и письменно подтверждаем, что закрыто.
Обычный набор работ: обновление CMS и плагинов, удаление заброшенных расширений, двухфакторный вход для всех администраторов, заголовки безопасности, исправленные права на файлы, резервная копия вне сервера с проверенным восстановлением. Marketing MIX сам разрабатывает и сопровождает корпоративные сайты, поэтому мы знаем, где настройка сервера ломает форму заявки или оформление заказа, и проверяем эти места после каждого изменения. Наша группа держит собственные серверы и ежедневно проверяет на уязвимости более 80 сайтов.
Что нужно от вас
Нужен человек, который принимает решения, и доступы, перечисленные в письме о рамках работ: список доменов и поддоменов, администратор в CMS или отдельная учётная запись для проверки, доступ к хостингу, если проверяем настройки сервера, список систем, которые трогать нельзя, и подпись под письмом. До подписи проверку не начинаем.
Границы аудита
Аудит оценивает техническое состояние сайта на конкретную дату. Уязвимости мы подтверждаем без эксплуатации, поэтому это отдельная от пентеста работа; пентест возможен по запросу.
Мы не надзорный орган и не сертификационный центр, и отчёт сертификатом не является. Юридических заключений о соответствии GDPR мы не даём, это задача вашего юриста или специалиста по защите данных. Новые уязвимости в плагинах публикуют постоянно, поэтому отчёт описывает состояние на день проверки. Гарантировать, что сайт никогда не атакуют, не может никто.
Чем рискованны бесплатные сканеры, ответы чат-бота и подрядчик без договора
Бесплатный сканер видит только поверхность и ставит оценку без контекста. Чат-бот не знает ваших плагинов и журналов и может посоветовать настройку, после которой у вашего хостера перестанет работать форма.
Подрядчик, который проверяет сайт без письменного разрешения владельца, создаёт юридический риск для обеих сторон. Без повторной проверки неизвестно, закрыта ли уязвимость на самом деле. Мы работаем по договору с фиксированным объёмом и подписанным письмом о рамках работ, каждую находку проверяет человек, повторная проверка входит в работу.
Порядок работы и цена
Пять шагов: разговор, письмо о рамках работ, проверка с отчётом, исправления, повторная проверка. Фиксированную цену вы узнаёте до старта.
Она зависит от числа сайтов и серверов, CMS, закрытых разделов и интеграций и от того, берём ли мы исправления на себя. Договоры на работы по безопасности заключает INNOVA CONSULT LTD., Оттава, Онтарио (Corporations Canada, номер корпорации 1522612).
Связанные страницы
- Взломали сайт: что делать, если инцидент уже произошёл.
- Защита сайта на WordPress, если сайт работает на WordPress.
- Вернуться к разделу кибербезопасность, к разработке корпоративных сайтов или написать нам.
Источники (проверено 23.10.2026)
- OWASP, Top 10:2025: категории рисков A01–A10.
- OWASP, Application Security Verification Standard: версия 5.0.0 от 30 мая 2025 года.
- OWASP, Web Security Testing Guide: стабильная версия 4.2.
- Регламент (ЕС) 2016/679, статья 32 GDPR: безопасность обработки.
Максим Степаненко, основатель Marketing MIX. Последняя проверка: 23 октября 2026 года.