Обсудить проект
+7 (812) 507-81-30 hello@rupor.agency
Безопасность

Аудит безопасности кода для e-commerce и сервисов

Найдём, исправим и проверим повторно. Ревью кода, настроек и бизнес-логики вашего сайта, личного кабинета или приложения — без атак на работающий сервис.

Обсудить задачу Пример находки

Отвечаем на четыре вопроса о вашем сайте, личном кабинете или приложении

  1. 01

    Может ли посторонний войти в чужой аккаунт?

  2. 02

    Можно ли увидеть чужие заказы, адреса и телефоны?

  3. 03

    Можно ли не заплатить, применить промокод десять раз или получить подарок без условий?

  4. 04

    Можно ли добраться до паролей, ключей и админ-панели?

Для этого смотрим на сервис изнутри: читаем код, проверяем настройки, права ролей, хранение ключей и персональных данных. Находим слабые места, объясняем, чем они грозят бизнесу, исправляем — вашими силами или нашими — и проверяем ещё раз. Работаем с кодом и тестовой средой: атак на работающий сервис мы не проводим.

Почему это важно не только для безопасности

  • Сайт может лечь в разгар распродажи
  • Клиенты могут получить рассылку от вашего имени
  • Кто-то может неделями заказывать бесплатно через ошибку в оплате
  • Утечка персональных данных ведёт к штрафу и проверке Роскомнадзора

Почему сейчас

64%

веб-приложений в 2025 году содержали уязвимости высокого уровня риска

Positive Technologies, «Киберугрозы веб-приложений: тренды 2026–2027»

51%

найденных уязвимостей — ошибки управления доступом: один пользователь видит или меняет чужие данные

Positive Technologies, проекты 2025 – I кв. 2026

42 дня

в среднем злоумышленник остаётся незамеченным внутри компании (в 2024 году — 25)

BI.ZONE DFIR, декабрь 2025

11,5 млн ₽

средний ущерб от утечки данных

InfoWatch / BISA, январь 2025

Штрафы за утечку персональных данных с 30 мая 2025 года

Федеральный закон № 420-ФЗ, ст. 13.11 КоАП РФ

Масштаб утечкиШтраф для организации
1 000 – 10 000 человек3–5 млн ₽
10 000 – 100 000 человек5–10 млн ₽
свыше 100 000 человек10–15 млн ₽
повторная утечкаоборотный штраф: 1–3% выручки, не менее 20 млн ₽ и не более 500 млн ₽

Об утечке нужно уведомить Роскомнадзор в течение 24 часов с момента выявления, о результатах расследования — в течение 72 часов. Для крупного бизнеса главный риск — оборотный штраф за повторную утечку и простой сервиса; для среднего — уже первая утечка: от 3 млн ₽.

Чем мы отличаемся

Мы разработчики

Понимаем, как устроен ваш сервис, говорим на языке вашей команды и можем исправить найденное сами.

Каждую находку подтверждаем вручную

В отчёт попадает только то, что инженер проверил сам: воспроизвёл на тестовой среде или подтвердил по коду, настройкам и журналам сервера.

Повторная проверка — в полном аудите и старших пакетах

На реальных проектах мы видели, как исправление закрывает одну дорогу к ошибке, а соседняя остаётся открытой. Поэтому после исправлений проверяем заново, включая соседние пути.

Прозрачные исправления

Если исправляем мы, изменения приходят в ваш репозиторий запросом на слияние с описанием и автотестом, решение о выкате принимает ваша команда. Повторная проверка идёт отдельным проходом по чек-листу находок.

Отчёт для двух аудиторий

Руководитель получает риски языком бизнеса, разработчик — точное место, шаги воспроизведения и готовое решение.

Что проверяем

Чужой аккаунт

Вход, коды подтверждения, сессии и срок жизни токенов, восстановление доступа.

Чужие данные

Проверка владельца объекта в каждом запросе, разграничение ролей.

Деньги

Оплата, промокоды, подарки, бонусы, одновременные запросы при оплате.

Опасный ввод

Инъекции в запросы к базе и серверу, загрузка файлов, запросы к внутренним адресам.

Ключи и пароли

Секреты в коде, журналах и конфигурации, шифрование платёжных ключей.

Настройки сервера

Отладочный режим, заголовки защиты, CORS, открытые панели и служебные адреса.

Библиотеки

Зависимости с известными уязвимостями, сверка с первоисточниками.

Админ-панель и интеграции

Права сотрудников, вебхуки, платёжные и учётные системы.

Что видно снаружи

Домены и адреса из вашего перечня: что о них видно в открытых источниках, без сканирования.

Персональные данные

Где хранятся, кто их видит, что попадает в журналы.

Стандарты и границы

Охват сверяем с OWASP ASVS (уровень выбираем вместе с вами) и OWASP API Security Top 10. Критичность оцениваем по CVSS 3.1 и по влиянию на бизнес: рядом с технической оценкой стоит сценарий «что потеряет компания». Работаем только по перечню доменов и систем, который вы передали и подтвердили письменно. Без сканирования и активных проверок. Базы утечек не скачиваем и не обрабатываем.

Кейсы

Посторонний уже был внутри

Задача
Ревью кода и сервера нескольких связанных сайтов.
Что сделали
Проверили, что видно снаружи, разобрали код, модули и настройки сервера.
Результат
Нашли следы компрометации: на сервере работал скрытый доступ для злоумышленника. Вход шёл через модуль, который давно не обновляли. По письменному согласованию с заказчиком расширили охват на соседние сайты того же сервера.
Что это значило для бизнеса
Злоумышленник мог в любой момент подменить содержимое сайтов или использовать их для атак на посетителей.

Вход в чужой аккаунт и заказ без оплаты

Задача
Полный аудит кода и инфраструктуры.
Что сделали
Ревью по направлениям, подтверждение каждой находки, исправления, второй проход.
Результат
Нашли возможность войти в чужой аккаунт и обойти оплату. Второй проход показал, что часть первых исправлений закрывала одну дорогу к ошибке, а соседняя оставалась открытой. Исправления прошли повторную проверку на тестовом стенде.
Что это значило для бизнеса
Через найденные ошибки можно было получать заказы без оплаты и входить в чужие аккаунты.

Кейсы приводим в обезличенном виде. Подробнее расскажем на созвоне, под NDA.

Что вы получите

  1. Сводка для руководства

    1–2 страницы: общий уровень, главные риски языком бизнеса, что делать в первую очередь.

  2. Технический отчёт

    По каждой находке: критичность, место в коде или системе, шаги воспроизведения на тестовой среде, рекомендация по исправлению. Отдельный раздел — что проверено, что осталось вне проверки и почему.

  3. План исправлений

    По приоритетам, с оценкой трудоёмкости: что закрыть сегодня, за неделю, за месяц.

  4. Встреча-разбор

    С руководителем и разработчиками вашей команды.

  5. Акт повторной проверки

    С перечнем закрытых пунктов — в форматах, где повторная проверка включена.

  6. По желанию

    Выгрузка находок в ваш трекер задач и автотест на каждую закрытую ошибку.

Пример карточки находки из отчёта
Высокая

Пользователь может открыть чужой заказ, подставив его номер в запрос.

Где
метод получения заказа; владелец заказа на сервере не сверяется.
Чем грозит
доступ к адресам и телефонам клиентов, это персональные данные по 152-ФЗ.
Шаги на тестовой среде
запрос под учётной записью А к заказу пользователя Б возвращает данные заказа.
Как исправить
сверять владельца заказа на сервере; добавить автотест.

Как проходит работа

  1. 1

    Договорённость 1–2 дня

    Договор, взаимное NDA, письменный перечень объектов и границ, контакты с обеих сторон.

  2. 2

    Ревью срок зависит от формата

    Смотрим, что видно снаружи по вашему перечню, вместе определяем, что для вас критично — деньги, данные клиентов, доверие, непрерывность работы, — и разбираем код, настройки и бизнес-логику. Каждую находку подтверждаем вручную.

  3. 3

    Отчёт и встреча 1 день

    Разбираем результаты с руководителем и разработчиками: что закрыть сегодня, за неделю, за месяц.

  4. 4

    Исправления и повторная проверка 2–5 дней на проверку

    Исправляет ваша команда или мы — запросом на слияние в ваш репозиторий. Затем подтверждаем исправление и проверяем соседние пути к той же ошибке.

Срочные находки

О критичной находке или признаках того, что в сервисе уже действует посторонний, сообщаем контактному лицу в течение одного рабочего дня с момента подтверждения — сразу, до итогового отчёта. При признаках компрометации останавливаем ревью и согласуем шаги, чтобы сохранить следы для расследования.

Что нужно от вас

Перечень сервисов и доменов, учётные записи всех ролей на тестовой среде, доступ к исходному коду (для полного аудита), контактное лицо со стороны разработки.

Сайт делал другой подрядчик? Договоримся с ним о доступах сами.

Тестовой среды нет? Подскажем, как её поднять, или проведём ревью кода и настроек в ограниченном объёме.

Форматы и стоимость

Экспресс

Сайт или магазин: нужно понять, всё ли в порядке.

Срок: 5–7 рабочих дней

  • Что видно снаружи
  • Настройки и секреты
  • Ревью ключевых модулей кода
  • Критичные сценарии денег и бизнес-логики
  • Отчёт и план исправлений
Обсудить

Полный аудит

Свой личный кабинет, приложение, курьеры, API.

Срок: 2–3 недели

  • Что видно снаружи
  • Настройки и секреты
  • Ревью всего кода
  • Все сценарии денег и бизнес-логики
  • Отчёт и план исправлений
  • Повторная проверка в течение 60 дней
Обсудить

Под ключ

Своих разработчиков нет или они заняты.

Срок: 3–5 недель

  • Всё из полного аудита
  • Исправления в коде силами нашей команды
  • Повторная проверка включена
Обсудить

Сопровождение

Частые релизы.

Срок: ежемесячно или ежеквартально

  • Что видно снаружи
  • Настройки и секреты
  • Ревью изменений за период
  • Новые сценарии бизнес-логики
  • Отчёт и план исправлений
  • Повторная проверка
  • Исправления — по согласованию
Обсудить

Стоимость и сроки рассчитываем индивидуально

Двух одинаковых проектов не бывает. Объём работ по аудиту и исправлениям зависит от сложности системы, размера кодовой базы, числа интеграций и многого из того, что становится ясно только в ходе проверки. Поэтому точную оценку мы даём после знакомства с вашим проектом.

Частые вопросы

У нас есть сканер уязвимостей. Зачем ещё аудит?

Сканер находит известные уязвимости по сигнатурам. По данным Positive Technologies, около половины найденных уязвимостей в веб-приложениях — ошибки управления доступом; рядом стоят ошибки бизнес-логики: чужой заказ, повторный промокод, обход оплаты. Их находит инженер, который разобрался в вашем сервисе.

У нас сильные разработчики. Зачем внешний аудит?

Поэтому отчёт написан для них: точное место, шаги, готовое решение. Взгляд со стороны находит то, к чему глаз команды привык.

Обязательно покупать исправления у вас?

Нет. Отчёт ваш, исправить по нему может любой разработчик.

А если вы ничего серьёзного не найдёте?

Вы получите отчёт с перечнем проверенного. Это тоже результат: вы знаете, где проверено и где риск низкий.

Это заменит проверку, которую требует регулятор?

Нет. Регуляторное тестирование, оценка по ГОСТ Р 57580 и работы по КИИ — задача лицензиата ФСТЭК. Мы поможем подготовить к такой проверке код и настройки.

Нужно ли это, если утечек не было?

В среднем злоумышленник остаётся незамеченным 42 дня (BI.ZONE). Отсутствие известных инцидентов ещё не значит, что их нет.

Вы передаёте наш код во внешние сервисы?

Только с вашего письменного разрешения, с указанием поставщика, юрисдикции и срока хранения. Перед передачей код проходит автоматический поиск секретов и персональных данных, найденное в передачу не попадает. Режим фиксируем в договоре до старта; можно работать и только с локальными инструментами — срок и стоимость тогда пересчитываем.
Следующий шаг

Расскажите о вашем сервисе

  1. Созвон на 30 минут: понимаем, что у вас за сервис и что для вас критично.
  2. Короткий опросник и смета в течение двух рабочих дней.
  3. Договор, NDA, старт.
+7 (812) 507-81-30 hello@rupor.agency

Не присылайте через форму пароли, ключи и доступы: договоримся о безопасной передаче после NDA.

Заявка отправлена!

Свяжемся с вами и договоримся о созвоне

Смежные услуги

152-ФЗ

Соответствие сайта 152-ФЗ

Технически приводим сайт к требованиям 152-ФЗ и Роскомнадзора: согласия, cookie-баннер, блокировка трекеров.

 E-commerce

Разработка интернет-магазинов

Интернет-магазины на WooCommerce и Laravel: от быстрого запуска до высоконагруженных платформ.