Аудит сайта перед проверкой контрагента: что успеть за неделю

Крупный клиент или франчайзер прислал запрос: перед подписанием договора служба безопасности проверит сайт поставщика — SSL, форму обратной связи, политику конфиденциальности, скорость и работоспособность. Срок — неделя. За это время нельзя провести полный аудит по всем девяти направлениям, но можно закрыть то, что реально смотрят: технические риски безопасности, юридический минимум по 152-ФЗ и явные технические сбои.

кто присылает такой запрос и почему сайт проверяют за неделю до сделки

Компания из двадцати человек поставляет оборудование для складской логистики. В пятницу вечером приходит письмо от нового клиента — розничной сети с оборотом в несколько миллиардов в год: прежде чем включить поставщика в реестр одобренных подрядчиков, служба безопасности проверит его сайт. Список того, что смотрят, приложен тут же: сертификат, форма заявки, политика обработки данных, скорость загрузки, работоспособность на телефоне. Срок ответа — семь дней.

Формально это техническая формальность в цепочке согласований. Но от результата зависит, попадёт сделка в этот квартал или уйдёт к конкуренту, у которого сайт уже приведён в порядок. Отказаться от проверки нельзя — контракт на этом закончится, не начавшись. Провести за неделю полноценный аудит тоже нельзя: разбор сайта по всем направлениям — технике, безопасности, конверсии, контенту, аналитике, юридической части, инфраструктуре — агентство обычно закладывает две-три недели. Поэтому смысл не в том, чтобы успеть всё, а в том, чтобы закрыть по убыванию риска то, что реально попадёт в отчёт проверяющего.

Присылают такие запросы не только сети федерального масштаба. Банк, рассматривающий заявку на кредитную линию, включает сайт в оценку деловой репутации заёмщика. Инвестор перед раундом финансирования просит техническую часть due diligence — и сайт там первая точка входа, потому что её проще всего проверить самостоятельно, не дожидаясь доступа к внутренним системам компании. Франчайзер, прежде чем разрешить открытие точки под своим брендом, смотрит, не подставит ли сайт партнёра всю сеть репутационно. Формат запроса разный, а список того, что смотрят в первую неделю, почти всегда один и тот же.

Цена ошибки не в замечании в отчёте. Если проверяющий находит сайт без HTTPS или форму, где данные уходят открытым текстом на почту, разговор о сделке на этом обычно заканчивается — независимо от цены в коммерческом предложении. Повторно попасть в тот же отбор поставщиков получится в лучшем случае через полгода, когда откроется следующий цикл закупки.

день 1–2: техническая безопасность — то, что проверяют первым

Первым делом служба безопасности прогоняет сайт через сканер — это занимает у неё несколько минут, а не дней. Сканер видит просроченный сертификат, домен, оформленный на физлицо, а не на юрлицо-заявителя, смешанный контент (страница на HTTPS, но часть картинок или скриптов подгружается по HTTP), открытые директории и старые версии CMS с известными уязвимостями. Это тот пласт проблем, который стоит закрывать в первые два дня — он не требует долгих согласований и чаще всего решается на стороне хостинга или регистратора.

На практике самих находок обычно немного, но каждая тянет за собой соседние: просроченный сертификат почти всегда означает, что за доменом и хостингом давно никто не следит вручную — их настраивали один раз при запуске и не трогали годами. Отсюда же чаще всего растут и остальные проблемы из таблицы.

Аптайм — единственный пункт из таблицы, который за неделю снимается только частично: перенести сайт на другой хостинг и протестировать нагрузку в такие сроки трудно. Честнее зафиксировать проблему в ответе проверяющему и указать дату переноса, чем убеждать, что сайт «просто иногда медленный».

Продлить сертификат и настроить автопродление — задача на час, если есть доступ к панели хостинга. Смешанный контент чинится дольше: нужно пройтись по шаблону и подгружаемым скриптам и заменить http на https вручную или через плагин переопределения ссылок — на сайте с историей в пять-семь лет таких ссылок может накопиться несколько десятков.

день 3–4: юридический минимум, который смотрят вручную

На третий день проверяющий обычно переходит от сканера к ручной проверке — открывает форму заявки на сайте, вводит тестовые данные и смотрит, что происходит дальше. Появляется ли чекбокс согласия на обработку персональных данных. Ведёт ли ссылка «политика конфиденциальности» на реальный документ, а не на страницу с ошибкой 404 — а именно так чаще всего и бывает: ссылку в футере поставили при запуске сайта три года назад, документ давно убрали при редизайне, ссылка осталась.

Минимальный набор для такой проверки описан в 152-ФЗ: согласие на обработку персональных данных должно быть получено явно, а не подразумеваться по факту заполнения формы. Проверяют также реквизиты в футере — ИНН, ОГРН, юридический адрес: их отсутствие читается как сайт без юрлица за ним, даже если компания работает пятнадцать лет.

Отсутствие чекбокса или ссылка на пустую страницу редко останавливает проверку сама по себе — но в отчёте проверяющего это фиксируется как находка, а несколько мелких находок вместе читаются как «сайтом никто системно не занимается». Для службы безопасности это более тревожный сигнал, чем одна серьёзная, но объяснимая проблема.

день 5: скорость и мобильная версия — что реально успеть

Скорость загрузки и мобильную версию за неделю до конца не переделать, но можно снять самые заметные симптомы: сжать изображения, включить кеширование статики, убрать скрипты, которые блокируют отрисовку страницы. Для сайта на типовой CMS это обычно день-два работы, если делать точечно, а не переписывать шаблон заново.

Обычно на сайте с историей находится десяток изображений в разы тяжелее, чем нужно для экрана, и пара сторонних скриптов — виджет чата, счётчик, старая форма подписки, — которые грузятся раньше основного контента. Отключение или отложенная загрузка таких скриптов часто даёт больший эффект за меньшее время, чем попытки оптимизировать код шаблона.

чего не обещать проверяющему

Полная перестройка структуры сайта, смена CMS, редизайн адаптивной вёрстки с нуля — то, что за неделю не сделает ни одна команда, и обещание всё успеть выглядит для службы безопасности хуже, чем честное «эта часть в работе, срок — три недели». Проверяющие в крупных компаниях чаще пропускают поставщика с адекватным планом исправлений, чем сайт, который на скорую руку залатали и который через месяц отвалится снова.

день 6–7: как оформить ответ и что делать с недоделками

К шестому дню имеет смысл собрать не «сайт исправлен», а короткий документ: что закрыто, что в работе и с какой датой, что требует отдельного решения — например, миграция хостинга. Именно такой ответ обычно снимает вопрос: служба безопасности крупной компании реже требует идеального сайта, чаще ей нужно подтверждение, что поставщик контролирует ситуацию.

• ✓что уже исправлено — с датой и без домыслов
• ✓что в работе — с конкретным сроком, а не «скоро»
• ✓что требует отдельного решения, например перенос хостинга, — с объяснением, почему за неделю это невозможно

Если внутри команды на такой разбор физически нет недели — три дня на техническую часть, два на юридическую, ещё день на подготовку ответа, — быстрее подключить внешний разбор. Аудит сайта по девяти направлениям фиксирует находки и сроки исправления в одном документе, который можно приложить прямо к ответу проверяющему, вместо того чтобы собирать список из переписки с разработчиком, хостером и юристом по отдельности. Сроки и стоимость такого разбора — на странице тарифов.

цена сорванной проверки: что теряет бизнес

Стоимость сорванной проверки редко ограничивается одной упущенной сделкой. Компания из примера выше теряет не только контракт этого квартала — она теряет место в реестре одобренных поставщиков на полгода вперёд, до следующего цикла отбора. За это время конкурент с рабочим сайтом успевает закрепиться у того же клиента, и вернуться туда со второй попытки почти всегда труднее, чем зайти с первой.

Внутри компании эта неделя обычно ложится на одного человека — маркетолога или руководителя, у которого и без того есть текущие задачи. Если аврал в такой ситуации отвлекает от других клиентов и проектов, цена проверки идёт не только по счёту от подрядчика, но и по упущенной выручке в сделках, которые в эту неделю остались без внимания.

Есть и более прямая цена: экстренная переделка форм, сертификатов и вёрстки в последние три дня перед дедлайном обходится дороже плановой работы — подрядчик берёт по факту срочности, а не по спокойному тарифу. Разница между «починили за неделю по плану» и «тушили пожар в ночь перед дедлайном» — это разница в бюджете, а не только в нервах.

❓ Частые вопросы

Сколько времени реально нужно на полный аудит сайта, если не сжимать сроки?

Разбор по всем девяти направлениям — техника, безопасность, конверсия, контент, аналитика, юридическая часть, инфраструктура, мобильная версия, SEO — обычно занимает две-три недели. За неделю можно закрыть только приоритетные риски: безопасность, форму заявки и юридический минимум.

Что чаще всего находит служба безопасности крупного клиента первым делом?

Автоматический сканер за минуты находит просроченный SSL-сертификат, смешанный контент http и https, домен, оформленный не на юрлицо, и открытые директории. Это первое, что стоит проверить и закрыть в начале недели.

Можно ли не успеть всё и всё равно пройти проверку?

Да, если вместо тишины подготовить документ с честным статусом: что уже исправлено, что в работе с датой, что требует отдельного решения. Служба безопасности крупных компаний чаще пропускает поставщика с внятным планом, чем сайт без объяснений.

Что делать, если своей команды не хватает на разбор за неделю?

Быстрее подключить внешний технический аудит: сторонняя команда проходит по ключевым направлениям и фиксирует находки со сроками в одном документе, который можно сразу приложить к ответу проверяющему.

Обязательно ли на сайте нужен чекбокс согласия на обработку персональных данных?

Да, по 152-ФЗ согласие на обработку персональных данных должно быть получено явно при заполнении любой формы на сайте, а не подразумеваться по умолчанию. Это один из первых пунктов, которые проверяют вручную.